CVE-2026-2174: Autenticação Imprópria no Endpoint CRUD do Contact Management System 1.0 da code-projects

Visão geral

O registro descreve uma falha classificada como CWE-287 (Autenticação Imprópria) no Contact Management System 1.0 da code-projects. A parte vulnerável é uma porção não especificada do componente CRUD Endpoint, e a manipulação do argumento ID resulta em autenticação imprópria. A descrição indica que o ataque pode ser realizado remotamente. A CVE foi publicada em 08/02/2026 pelo CNA VulDB e analisada pelo NVD.

Impacto

O NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Isso indica acesso pela rede, baixa complexidade, ausência de privilégios exigidos e de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. O CNA VulDB informa outras pontuações (7.3 no CVSS 3.1, 6.9 no CVSS 4.0 e 7.5 no CVSS 2.0), portanto a classificação depende da métrica considerada.

Como a descrição indica que a autenticação pode ser contornada pelo argumento ID, na prática dados ou funções atrás do endpoint podem ficar acessíveis sem credenciais válidas. O registro não descreve quais dados seriam expostos ou alterados.

Produtos e versões afetadas

A descrição cita o Contact Management System 1.0 da code-projects. Já o campo estruturado de produtos afetados lista Fabian Contact Management System versão 1.0, nome que não corresponde ao da descrição. Recomenda-se confirmar o produto e a build em uso antes de avaliar a exposição.

Status de exploração

A CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O registro EPSS apresenta probabilidade de 0.00633 e percentil de 0.48978, conforme os dados disponíveis.

Correção e mitigação

O registro não lista versão corrigida. A ausência de versão corrigida não significa que não exista correção, por isso vale verificar o site do fornecedor e a entrada do VulDB.

Restrinja o acesso de rede à aplicação, sobretudo às funções administrativas e de CRUD.
Coloque a aplicação atrás de uma camada de autenticação independente do endpoint vulnerável até que uma correção seja confirmada.
Remova ou isole instâncias que não sejam necessárias.
Revise os trechos de código que tratam o parâmetro ID para garantir que toda requisição passe por verificação de autorização.
Se o projeto não tiver mais manutenção, planeje a substituição (inferência, pela ausência de correção no registro).

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições a endpoints CRUD bem-sucedidas sem sessão válida.
Gere alertas para atividades inesperadas de criação, leitura, atualização ou exclusão originadas de endereços desconhecidos.
Mantenha um inventário das instalações desse software, incluindo os identificadores de versão.

Limitações das informações disponíveis

O componente afetado é descrito apenas como uma parte desconhecida do CRUD Endpoint. O nome do produto difere entre a descrição e o campo de produtos afetados. O registro não traz aviso do fornecedor nem versão corrigida, e as pontuações CVSS vêm de provedores e versões diferentes. A data do EPSS no registro (13/10/2026) é posterior à publicação e é reproduzida como consta nos dados.

Perguntas frequentes

O que é a CVE-2026-2174?

É uma falha de autenticação imprópria (CWE-287) reportada no Contact Management System 1.0 da code-projects, em uma parte não especificada do componente CRUD Endpoint.

Existe versão corrigida?

O registro não lista versão corrigida. Verifique o fornecedor e a entrada do VulDB, pois a ausência de informação não comprova que não há correção.

Esta CVE está sendo explorada na prática?

Ela não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.