CVE-2026-2189: Injeção de SQL no itsourcecode School Management System

Visão geral

A CVE-2026-2189 descreve um problema de injeção de SQL no itsourcecode School Management System 1.0. Segundo o registro, a falha está em uma função não identificada do arquivo /ramonsys/report/index.php, onde a manipulação do argumento chamado ay pode levar a injeção de SQL. A fraqueza é classificada como CWE-74 (Injeção).

Impacto

A injeção de SQL pode permitir que um atacante altere a forma como a aplicação monta consultas ao banco de dados, o que pode expor, modificar ou apagar dados armazenados e afetar a disponibilidade do sistema. A avaliação do NVD é 9.8 (crítica) no CVSS 3.1, refletindo acesso pela rede, baixa complexidade, ausência de privilégios exigidos, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Outras pontuações CVSS informadas pela CNA VulDB são 5.5 no CVSS 4.0, 7.3 no CVSS 3.1 e 7.5 no CVSS 2.0, portanto a gravidade varia conforme a métrica considerada.

Produtos e versões afetadas

• Produto: Itsourcecode School Management System
• Versão registrada como afetada: 1.0

O registro não lista outras versões afetadas e não informa se versões posteriores são impactadas.

Status de exploração

O registro informa que existe exploit publicamente disponível e que ele pode ser utilizado. A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0.00429, uma estimativa de modelo que não comprova exploração.

Correção e mitigação

• O registro não lista versão corrigida nem correção do fornecedor. A ausência de correção listada não confirma que ela não exista, por isso o status deve ser verificado diretamente com o fornecedor pelo site itsourcecode.
• Se a aplicação afetada estiver em uso, restrinja o acesso às interfaces de gestão e de relatórios a redes confiáveis até que haja correção ou alteração de código revisada.
• Peça ao desenvolvedor ou mantenedor que revise o acesso ao banco de dados no arquivo afetado e adote consultas parametrizadas e validação rigorosa de todos os valores fornecidos pelo usuário.
• Considere um firewall de aplicação web como controle compensatório temporário, reconhecendo que ele não substitui a correção do código.
• Se o software não for essencial, planeje sua remoção ou substituição.

Orientações de detecção

• Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou repetidas para /ramonsys/report/index.php, principalmente com tamanhos anormais ou caracteres inesperados em parâmetros.
• Verifique os logs de erro do banco de dados em busca de falhas de sintaxe ou de consulta originadas no módulo de relatórios.
• Monitore leituras, alterações ou novas contas inesperadas no banco de dados da aplicação.

Limitações das informações disponíveis

O registro não detalha a função vulnerável, não traz o texto de um aviso do fornecedor e não lista versão corrigida. A classificação CWE é a categoria genérica de Injeção, e as pontuações CVSS diferem entre as entradas da CNA e do NVD. As organizações devem confirmar o caminho de código afetado e a exposição em seu próprio ambiente antes de definir a prioridade de resposta.

Perguntas frequentes

Quais software e versões são afetados pela CVE-2026-2189?

O registro lista o itsourcecode School Management System versão 1.0 como afetado. Não há outras versões listadas, portanto a situação de outras versões é desconhecida.

A CVE-2026-2189 é explorada na natureza?

O registro informa que há exploit público, mas a vulnerabilidade não consta no KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe correção do fornecedor para a CVE-2026-2189?

Nenhuma correção está listada no registro. A ausência de correção listada não comprova que ela não exista, por isso a situação deve ser confirmada com o fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.