CVE-2026-2161: Injeção de SQL no forget-password.php do itsourcecode Directory Management System 1.0
A CVE-2026-2161 é uma falha de injeção de SQL no arquivo /admin/forget-password.php do itsourcecode Directory Management System 1.0, acionada pelo argumento email e acessível remotamente. O registro da NVD atribui pontuação CVSS 3.1 de 9,8 (crítica), enquanto as pontuações da CNA variam entre as versões 2.0 e 4.0 do CVSS. O registro indica que existe exploit público, mas a CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-2161 descreve um problema de injeção de SQL no arquivo /admin/forget-password.php do itsourcecode Directory Management System 1.0. Segundo o registro, o argumento email não é tratado de forma segura, o que permite que SQL injetado chegue ao banco de dados. No registro, a CVE é classificada como CWE-74 (Injeção).
Impacto
Uma injeção de SQL bem-sucedida pode permitir a leitura, alteração ou remoção de dados do banco, dependendo das permissões do banco e do desenho da aplicação. O registro não descreve quais dados seriam expostos nem o nível de acesso obtido. A pontuação base da NVD é 9,8 no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade, e o vetor indica acesso pela rede, sem privilégios e sem interação do usuário.
Produtos e versões afetadas
- O registro indica como produto afetado o Clive 21 Directory Management System, versão 1.0.
- A descrição e a referência do fornecedor mencionam itsourcecode Directory Management System 1.0. A diferença de nomenclatura deve ser verificada com o fornecedor antes de cruzar com inventários.
- Nenhuma outra versão afetada está listada no registro.
Status de exploração
O registro afirma que o exploit foi tornado público e que pode ser utilizado. A CVE não consta no catálogo KEV da CISA e não há exploração confirmada no ambiente real nas fontes consultadas. A disponibilidade pública de exploit é um motivo para priorizar a correção.
Correção e mitigação
- O registro não identifica uma versão corrigida pelo fornecedor. A única referência de correção é uma entrada de mitigação apontando para uma issue de terceiros no GitHub.
- Restrinja o acesso ao caminho administrativo /admin/ a redes confiáveis até que a aplicação seja verificada.
- Revise o código que trata o formulário de recuperação de senha e aplique consultas parametrizadas e validação de entrada, prática padrão para esse tipo de falha.
- Acompanhe o site do fornecedor e as fontes referenciadas em busca de atualização oficial, e valide a correção em ambiente de testes antes da implantação.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas para /admin/forget-password.php, principalmente com caracteres inesperados ou erros repetidos vindos da camada de banco.
- Monitore mensagens de erro do banco e volumes incomuns de consultas originados da conta usada pela aplicação web.
- Gere alertas para tentativas de acesso a caminhos administrativos a partir de endereços externos.
Limitações das informações disponíveis
O registro não identifica um aviso oficial do fornecedor, uma versão corrigida, o trecho de código vulnerável nem o banco de dados utilizado. As pontuações CVSS da CNA diferem da pontuação da NVD (5,5 no 4.0, 7,3 no 3.1 e 7,5 no 2.0). A probabilidade EPSS é 0,00433, com percentil de 0,35837. Não há dados SSVC. A nomenclatura do produto diverge entre o campo de produto afetado e a descrição.
Perguntas frequentes
A CVE-2026-2161 está sendo explorada ativamente?
O registro afirma que existe exploit público, mas a CVE não consta no KEV da CISA e não há exploração confirmada no ambiente real nas fontes consultadas.
Existe uma versão corrigida oficial?
Não. O registro não identifica versão corrigida, apenas uma referência de mitigação para uma issue de terceiros no GitHub.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.