CVE-2026-2173: Injeção de SQL no login.php do Online Examination System 1.0 (code-projects)

Visão geral

A CVE-2026-2173 é uma fraqueza de injeção de SQL (CWE-89) no arquivo login.php do code-projects Online Examination System 1.0, conforme descrito no registro. A descrição menciona apenas alguma funcionalidade desconhecida de login.php e afirma que a manipulação dos argumentos username e password leva a injeção de SQL. O ataque pode ser iniciado remotamente.

Impacto

O NVD atribui pontuação base CVSS 3.1 de 9.8 com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve um ataque acessível pela rede, de baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. A CNA (VulDB) lista pontuações diferentes: 7.3 no CVSS 3.1, 6.9 no CVSS 4.0 e 7.5 no CVSS 2.0. Com base na descrição, um atacante poderia, em tese, ler ou alterar dados do banco por meio do formulário de login, mas o registro não descreve as consequências observadas.

Produtos e versões afetados

A descrição cita o code-projects Online Examination System 1.0.
O campo estruturado de produto afetado indica Fabian Online Examination System, versão 1.0. O registro não resolve essa diferença de nome.
Nenhuma outra versão afetada consta no registro.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0.00363, com percentil 0.28292, conforme registrado com data 2026-10-13. Esses valores indicam baixa probabilidade modelada de exploração, mas não são evidência de ataques reais.

Correção e mitigação

O registro não lista versão corrigida nem correção do fornecedor. A ausência de uma correção listada não significa que ela não exista; verifique o fornecedor e a página do produto.
Se a aplicação estiver em uso, restrinja o acesso à interface de login, evite exposição direta na internet e posicione-a atrás de controles de rede quando possível.
Remova ou substitua a aplicação caso não haja versão corrigida suportada.
Mantenedores de código devem usar consultas parametrizadas e validação rigorosa de entrada nos campos de autenticação.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas para login.php, especialmente com conteúdo anômalo nos campos de usuário ou senha.
Observe mensagens de erro de banco de dados exibidas ao usuário ou autenticações bem-sucedidas inesperadas.
Use alertas de firewall de aplicação web ou de detecção de intrusão para assinaturas de injeção de SQL, reconhecendo que elas não são abrangentes.

Limitações das informações disponíveis

O registro não identifica a função vulnerável, o caminho exato do código nem o status de correção do fornecedor.
O nome do produto difere entre a descrição e o campo de afetados.
Uma referência da VulDB traz a tag Permissions Required, enquanto a descrição e o vetor do NVD indicam que nenhum privilégio é necessário. O registro não resolve esse conflito.
Não há versão corrigida, patch nem aviso do fornecedor.

Perguntas frequentes

O que é a CVE-2026-2173?

É uma fraqueza de injeção de SQL (CWE-89) no login.php do code-projects Online Examination System 1.0, acionada pelos argumentos username e password, segundo o registro.

Qual é a gravidade?

O NVD classifica como crítica, com nota 9.8 no CVSS 3.1. As pontuações da CNA VulDB são menores: 7.3 no CVSS 3.1, 6.9 no CVSS 4.0 e 7.5 no CVSS 2.0.

Existe correção?

O registro não lista versão corrigida nem patch do fornecedor. Verifique as páginas do fornecedor e do produto e considere restringir o acesso enquanto isso.

Há exploração conhecida?

O catálogo KEV da CISA não lista a falha no registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.