CVE-2026-2172: Injeção de SQL no Online Application System for Admission da code-projects

Visão geral

A CVE-2026-2172 está classificada como injeção de SQL (CWE-89) no arquivo enrollment/index.php, parte do componente Login Endpoint do Online Application System for Admission 1.0, da code-projects. O CNA (VulDB) informa que a falha pode ser acionada remotamente. A funcionalidade afetada é descrita apenas como desconhecida no registro, portanto o parâmetro exato não está documentado aqui.

Impacto

O NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade conforme esse vetor. Em termos gerais, injeção de SQL em um fluxo de autenticação pode permitir a leitura, alteração ou interrupção de dados do banco. O impacto real depende da implantação, das permissões do banco e dos dados armazenados.

Produtos e versões afetadas

A descrição cita o Online Application System for Admission 1.0, da code-projects.
O campo estruturado de produto afetado lista 'Fabian Online Application System For Admission', versão 1.0. Há, portanto, divergência de nomenclatura de fornecedor e produto que deve ser verificada na página do fabricante.
O registro não informa versão corrigida nem informações de correção.

Status de exploração

O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado. A CVE não consta na lista KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. A probabilidade EPSS é 0.00441, com percentil de 0.36524, conforme os dados de origem.

Remediação e mitigação

Nenhuma correção do fabricante está registrada nas fontes disponíveis. Verifique a página do fabricante e as entradas da VulDB antes de presumir que existe correção.
Se a aplicação estiver em uso, restrinja o acesso aos endpoints de login e matrícula sempre que possível, por meio de segmentação de rede ou controles de acesso, e limite a exposição à internet.
Revise o código para que as consultas usem instruções parametrizadas e a validação de entrada seja feita no servidor. Trata-se de correção de desenvolvimento, a ser aplicada por quem mantém o código.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação.
Se a aplicação não puder ser protegida ou atualizada, considere retirá-la do ambiente de produção ou substituí-la.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns para enrollment/index.php, especialmente tentativas de login repetidas ou malformadas e picos de respostas de erro.
Monitore os logs do banco de dados em busca de erros de consulta ou instruções inesperadas originadas da conta usada pela aplicação web.
Configure alertas para volumes ou padrões de tráfego de autenticação que fujam do uso normal.

Limitações das informações disponíveis

O registro não inclui versão corrigida, aviso do fabricante nem patch.
A nomenclatura de fornecedor e produto difere entre a descrição e o campo de produto afetado.
O parâmetro vulnerável não é especificado.
As pontuações CVSS variam por fonte: NVD 9.8 (3.1), CNA 7.3 (3.1), CNA 5.5 (4.0) e CNA 7.5 (2.0).
A data EPSS do registro é 2026-10-13, que deve ser confirmada na fonte.
O registro não possui título, então o título desta análise foi derivado da descrição.

Perguntas frequentes

O que é a CVE-2026-2172?

É uma vulnerabilidade de injeção de SQL (CWE-89) no arquivo enrollment/index.php, parte do Login Endpoint do Online Application System for Admission 1.0, da code-projects, descrita como explorável remotamente.

Existe correção para a CVE-2026-2172?

O registro não informa versão corrigida nem patch. Verifique as páginas do fabricante e da VulDB antes de presumir que há correção disponível.

A CVE-2026-2172 está sendo explorada ativamente?

O registro informa que um exploit foi divulgado publicamente, mas a CVE não consta na lista KEV da CISA e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.