CVE-2026-2184: Injeção de Comando de Sistema Operacional no Great Developers Certificate Generation System via Parâmetro photo

Visão geral

O CVE-2026-2184 descreve uma falha de injeção de comando de sistema operacional no Great Developers Certificate Generation System. Segundo o registro, a falha está no arquivo /restructured/csv.php e é acionada pelo argumento photo. O registro indica que o problema pode ser explorado remotamente.

O produto usa um modelo de release contínuo, e o repositório upstream não tem atividade há muitos anos.

Impacto

A fraqueza é classificada como CWE-78 (Injeção de Comando de Sistema Operacional).
A NVD atribui pontuação CVSS 3.1 base de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve alto impacto em confidencialidade, integridade e disponibilidade, sem privilégios necessários e sem interação do usuário.
A VulDB, como CNA, lista pontuações de 7.3 (CVSS 3.1), 6.9 (CVSS 4.0) e 7.5 (CVSS 2.0).

As fontes disponíveis não descrevem as consequências concretas observadas em nenhum ambiente real.

Produtos e versões afetadas

O registro lista o produto Greatdevelopers Certificate com a faixa ≤ 2017-10-16. A descrição se refere ao estado do projeto até o commit 97171bb0e5e22e52eacf4e4fa81773e5f3cffb73. Como o produto é de release contínuo, não há números discretos de versões afetadas ou corrigidas.

Status de exploração

O registro indica kev.listed como falso, portanto esta análise não afirma exploração ativa nem exploração no ambiente real. Nenhuma exploração confirmada aparece nas fontes consultadas. Um repositório público referenciado está marcado como relacionado a exploit; esta análise usa apenas essa marcação e não descreve seu conteúdo. A probabilidade EPSS é 0.10681, com percentil de 0.95729.

Correção e mitigação

Nenhuma correção do fornecedor é listada no registro, então trate o produto como não corrigido.
Se a aplicação não for necessária, remova-a de sistemas expostos à internet. Se for necessária, restrinja o acesso apenas a redes confiáveis.
Como o projeto upstream está inativo, planeje a migração para uma solução de geração de certificados mantida.
Execute a aplicação web com privilégios mínimos no sistema operacional e limite o que o processo do servidor web pode executar.
Peça que desenvolvedores revisem como valores fornecidos pelo usuário chegam a chamadas de sistema, adotando listas de permissão estritas e APIs seguras que não invoquem shell.

Orientações de detecção

Revise os logs de acesso do servidor web em busca de requisições ao caminho csv.php com valores incomuns ou inesperados no parâmetro photo.
Monitore processos filhos iniciados pelo servidor web ou pelo runtime PHP, que podem indicar execução de comandos.
Observe arquivos novos ou alterados em diretórios web e conexões de saída inesperadas a partir do servidor.

Limitações das informações disponíveis

O registro não inclui aviso do fornecedor nem versão corrigida.
Não há informação de versão porque o produto é de release contínuo, e a faixa afetada é dada como string baseada em data cujo significado exato não é explicado.
As pontuações CVSS diferem entre provedores e versões, então o registro não estabelece uma severidade única além da pontuação 9.8 da NVD.
O registro não confirma exploração no ambiente real, e a data do EPSS é posterior à data de publicação.

Perguntas frequentes

Esta vulnerabilidade é explorada ativamente?

O registro indica que o CVE não consta no catálogo KEV da CISA, então esta análise não afirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas.

Existe versão corrigida?

Nenhuma versão corrigida é listada no registro. Como o produto usa modelo de release contínuo, não há informação de versão, e o produto deve ser tratado como não corrigido.

O que os administradores devem fazer agora?

Restrinja ou remova a exposição da aplicação à internet, execute-a com privilégios mínimos e planeje a migração para uma alternativa mantida, já que o projeto upstream está inativo.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.