CVE-2026-2196: Injeção de SQL no Online Reviewer System 1.0 via test_id

Visão geral

A CVE-2026-2196 é uma fraqueza de injeção de SQL (CWE-89) registrada no Online Reviewer System 1.0 da code-projects. Segundo o registro, o problema envolve o arquivo /system/system/admins/assessments/pretest/exam-update.php e seu argumento test_id. O registro foi publicado em 9 de fevereiro de 2026 e seu status é Analyzed, conforme a entrada da NVD.

Impacto

A NVD atribui pontuação base CVSS 3.1 de 9.8, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve ataque pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Por inferência a partir da classe de injeção de SQL, um atacante bem-sucedido poderia potencialmente ler, alterar ou interromper dados do banco de dados tratados pela aplicação. O efeito exato neste produto é desconhecido.

Produtos e versões afetados

O registro lista a versão 1.0 como afetada.
A entrada de produto afetado nomeia 'Fabian Online Reviewer System', enquanto a descrição nomeia 'code-projects Online Reviewer System 1.0'. A identidade do fornecedor e do produto deve ser confirmada na entrada da VulDB e na página do fornecedor.
Nenhuma versão corrigida consta no registro. Isso não confirma que correção inexista.

Status de exploração

A descrição afirma que o exploit foi tornado público e pode ser utilizado. Uma issue no GitHub marcada como referência de exploit está listada na issue do GitHub.
O registro não indica inclusão no catálogo KEV. Não há exploração ativa confirmada na natureza nas fontes consultadas.

Correção e mitigação

Identifique se a aplicação está implantada e se a versão 1.0 está em uso.
Restrinja o acesso a caminhos administrativos e reduza a exposição de rede da aplicação até que os mantenedores publiquem correção ou atualização verificada.
Como medida defensiva de desenvolvimento, aplique validação rigorosa de entradas e consultas parametrizadas no trecho de código afetado.
Acompanhe atualizações no site da code-projects e no registro CVE.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao arquivo afetado, especialmente com valores anormais no parâmetro test_id.
Monitore mensagens de erro do banco de dados e comportamentos inesperados de consulta originados da aplicação.

Limitações das informações disponíveis

O registro não fornece versão corrigida, aviso do fornecedor nem patch.
O nome do produto difere entre a entrada de produto afetado e a descrição.
Existem várias pontuações CVSS de diferentes provedores: CNA 4.0 com nota 5.5, CNA 3.1 com nota 7.3, CNA 2.0 com nota 7.5 e NVD 3.1 com nota 9.8. A pontuação da NVD é usada aqui como referência principal.
Uma referência da VulDB está marcada como 'Permissions Required', o que conflita com o valor PR:N do vetor da NVD e deve ser verificado.
Os dados do EPSS têm data de 2026-10-13, posterior à data de publicação; seu significado deve ser verificado na fonte.

Perguntas frequentes

O que é a CVE-2026-2196?

É uma fraqueza de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects, acionada pelo argumento test_id do exam-update.php, segundo o registro.

Há correção para esta vulnerabilidade?

O registro não lista versão corrigida. Isso não confirma que correção inexista, por isso consulte o fornecedor, o registro CVE e a entrada da VulDB para atualizações.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não indica inclusão no catálogo KEV e nas fontes consultadas não há exploração ativa confirmada na natureza. A descrição afirma que um exploit foi tornado público.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.