CVE-2026-2190: Injeção de SQL no itsourcecode School Management System 1.0

Visão geral

A CVE-2026-2190 descreve uma fraqueza de injeção de SQL (CWE-89) no itsourcecode School Management System 1.0. Segundo o registro, a falha está em uma função não identificada do arquivo /ramonsys/user/controller.php e é desencadeada pela manipulação do argumento ID. A descrição oficial afirma que o ataque pode ser lançado remotamente. As principais fontes consultadas foram o registro na NVD e a entrada na VulDB.

Impacto

A injeção de SQL pode permitir que um atacante que alcance a entrada vulnerável influencie consultas ao banco de dados. O vetor CVSS 3.1 registrado pela NVD marca confidencialidade, integridade e disponibilidade como altas, sem exigir privilégios nem interação do usuário. Dependendo da configuração do banco, as consequências podem incluir leitura ou alteração não autorizada de registros escolares. Essas consequências são uma inferência a partir da classe da vulnerabilidade e do vetor, e não um resultado confirmado pelas fontes.

Produtos e versões afetadas

itsourcecode School Management System, versão 1.0 (a única versão listada no registro).
O registro não lista outras versões afetadas. Se versões anteriores ou posteriores são afetadas, isso é desconhecido.

Status de exploração

O registro afirma que um exploit foi divulgado publicamente. A CVE não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. Há uma referência marcada como exploit no registro, mas esta análise não descreve nem reproduz seu conteúdo.

Correção e mitigação

O registro não informa versão corrigida, portanto o status de correção é desconhecido. A ausência de dados não significa que não exista correção.
Consulte o site do fornecedor em busca de versão atualizada ou aviso antes de depender de qualquer correção.
Enquanto a correção não for verificada, restrinja o acesso à aplicação afetada a redes confiáveis e usuários autorizados.
Revise o código que trata o parâmetro ID e migre o acesso ao banco para consultas parametrizadas ou instruções preparadas.
Utilize contas de banco com privilégio mínimo para a aplicação, de modo que uma injeção bem-sucedida tenha alcance limitado.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro ID em requisições ao controlador afetado.
Monitore mensagens de erro de banco de dados devolvidas aos clientes e trate erros SQL inesperados como sinal para investigação.
Considere um firewall de aplicação web com regras ajustadas a esta aplicação. Essas regras são controle complementar e não substituem a correção.

Limitações das informações disponíveis

O registro não identifica a função vulnerável, o método HTTP, o mecanismo de banco de dados nem qualquer versão corrigida. As pontuações CVSS variam entre fornecedores de informação: a NVD atribui 9,8 pelo CVSS 3.1, enquanto a CNA lista 7,3 no 3.1, 5,5 no 4.0 e 7,5 no 2.0. A probabilidade EPSS é 0,00429 com percentil 0,35405. O status do fornecedor e a disponibilidade de correção não puderam ser confirmados com os dados fornecidos.

Perguntas frequentes

A CVE-2026-2190 está sendo explorada ativamente?

O registro afirma que um exploit foi divulgado publicamente, mas a CVE não consta no catálogo KEV da CISA e nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Existe versão corrigida para esta falha de injeção de SQL?

O registro não informa versão corrigida nem correção do fornecedor. O status é desconhecido, então consulte o site do fornecedor e verifique qualquer atualização antes de confiar nela.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.