CVE-2026-2195: Injeção de SQL no Online Reviewer System 1.0 da code-projects

Visão geral

Foi relatada uma falha de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects. De acordo com o registro, o código vulnerável está em um componente administrativo de avaliações e é acionado pela manipulação do argumento ID. A página pública do produto é code-projects.org.

Impacto

Como a falha é classificada como injeção de SQL, um atacante que alcance a página afetada poderia, em tese, ler ou alterar dados do banco, dependendo da configuração do banco.
A NVD atribui pontuação base 9,8 (crítica) no CVSS 3.1, com alto impacto na confidencialidade, integridade e disponibilidade, sem exigência de privilégios ou interação do usuário. Trata-se de uma avaliação da fonte, não de um resultado medido.
Outras pontuações da CNA presentes no registro são 7,3 (CVSS 3.1), 7,5 (CVSS 2.0) e 5,5 (CVSS 4.0), portanto a severidade varia conforme o provedor.

Produtos e versões afetados

O registro lista a versão 1.0 do produto.
O campo de produto afetado cita 'Fabian Online Reviewer System', enquanto a descrição cita a code-projects. Essa divergência deve ser verificada nas entradas do fornecedor e da VulDB.
Nenhuma versão corrigida é indicada no registro.

Status de exploração

O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado. Há referência a uma issue do GitHub marcada como relacionada a exploit.
O catálogo KEV da CISA não lista este CVE no registro, portanto as fontes consultadas não confirmam exploração ativa no mundo real.
A probabilidade EPSS no registro é 0,00376, com percentil de 0,29665.

Correção e mitigação

Nenhuma correção do fornecedor ou versão corrigida é identificada no registro. Organizações devem confirmar com o fornecedor ou mantenedores se existe alguma atualização.
Onde o produto estiver em uso, considere restringir o acesso a caminhos administrativos a redes e usuários de confiança até que o software seja revisado.
Verifique se a aplicação utiliza consultas parametrizadas e validação de entrada em todos os parâmetros de identificação. Se não puder ser atualizado, trate o produto como não confiável.
Considere remover ou substituir o software caso não seja essencial, dada a disponibilidade pública de informações sobre exploit.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns ou repetidas à página administrativa afetada, especialmente com valores anormais no parâmetro ID.
Monitore mensagens de erro do banco de dados e volume inesperado de consultas originadas da aplicação.
Gere alertas para acessos a caminhos administrativos a partir de origens inesperadas.

Limitações das informações disponíveis

O registro não identifica versão corrigida, patch ou aviso oficial do fornecedor.
O nome do produto afetado é inconsistente entre a descrição e o campo de produto afetado.
A data EPSS do registro (2026-10-13) é posterior à data de publicação, portanto os valores EPSS devem ser conferidos na fonte atual.
Os detalhes do código vulnerável são descritos apenas em alto nível.

Perguntas frequentes

Qual é a vulnerabilidade do CVE-2026-2195?

O registro descreve uma falha de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects, acionada pela manipulação do argumento ID em uma página administrativa de avaliações.

Há uma versão corrigida disponível?

Nenhuma versão corrigida é listada no registro. Confirme com o fornecedor ou mantenedores se existe alguma atualização.

Este CVE é conhecido por ser explorado ativamente?

O registro indica divulgação pública de um exploit, mas o CVE não consta no catálogo KEV da CISA e as fontes consultadas não confirmam exploração no mundo real.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.