CVE-2026-2166: Injeção de SQL no login do code-projects Online Reviewer System 1.0
Foi relatada uma vulnerabilidade de injeção de SQL (CWE-89) na função de login em /login/index.php do code-projects Online Reviewer System 1.0, em que a manipulação dos argumentos username e password leva à injeção. A NVD atribui pontuação 9,8 (crítica) no CVSS 3.1, e o registro indica ataque remoto e divulgação pública de exploit. O CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma falha de injeção de SQL (CWE-89) no componente de login em /login/index.php do code-projects Online Reviewer System 1.0. Segundo o registro, a manipulação do argumento username ou password leva à injeção de SQL. A NVD publicou o registro em 2026-02-08 e o marcou como Analyzed.
Impacto
- O vetor CVSS 3.1 da NVD (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica alcance pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- Inferência: dependendo de como a aplicação usa seu banco de dados, um atacante que alcance o formulário de login poderia afetar os dados armazenados pela aplicação.
Produtos e versões afetados
- A descrição cita o code-projects Online Reviewer System 1.0, enquanto o campo estruturado de produto lista Fabian Online Reviewer System, versão 1.0. A diferença de nomenclatura deve ser verificada nas entradas do fornecedor e da VulDB.
- Nenhuma versão corrigida está listada no registro. A ausência de correção listada não confirma que não exista correção.
Status de exploração
- O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado.
- O CVE não consta no catálogo KEV da CISA segundo o registro.
- Não há exploração ativa confirmada nem exploração no ambiente real nas fontes consultadas.
Correção e mitigação
- Identifique se o code-projects Online Reviewer System 1.0 está implantado e se a página de login é acessível a partir de redes não confiáveis.
- Nenhuma correção do fornecedor é identificada no registro; consulte a entrada da VulDB e a página do produto para atualizações.
- Restrinja a exposição da página de login com controles de rede ou restrições de acesso até que a aplicação seja revisada.
- Use consultas parametrizadas na lógica de autenticação, valide as entradas e execute a conta de banco de dados da aplicação com privilégios mínimos.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições a /login/index.php com conteúdo incomum ou malformado nos campos username e password.
- Monitore erros de banco de dados ocorridos durante requisições de autenticação.
- Trate alertas de firewall de aplicação web como sinal complementar, e não como controle único.
Limitações das informações disponíveis
- Versões além da 1.0 não são identificadas no registro.
- Nenhuma versão corrigida ou patch do fornecedor é listado.
- As pontuações CVSS variam por provedor: a NVD informa 9,8 no CVSS 3.1, enquanto o CNA informa 7,3 no 3.1, 5,5 no 4.0 e 7,5 no 2.0.
- O campo de título do registro está vazio, e a entrada EPSS está datada de 2026-10-13 conforme registrado.
- As fontes foram consultadas pelo registro da NVD e pelo registro do CVE.org.
Perguntas frequentes
O CVE-2026-2166 está sendo explorado ativamente?
O registro afirma que um exploit foi divulgado publicamente, mas o CVE não consta no KEV da CISA e não há exploração confirmada no ambiente real nas fontes consultadas.
Quais versões são afetadas?
O registro identifica a versão 1.0 do Online Reviewer System. Não lista outras versões afetadas nem uma versão corrigida.
O que os administradores devem fazer agora?
Confirme se o produto está implantado, limite o acesso à página de login, revise com o desenvolvedor o tratamento das consultas ao banco e monitore logs de autenticação enquanto aguarda orientação do fornecedor.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.