CVE-2026-2197: Injeção de SQL no Online Reviewer System 1.0 da code-projects

Visão geral

Foi relatada uma vulnerabilidade de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0. O arquivo afetado é /system/system/admins/assessments/pretest/exam-delete.php, e o registro indica que o argumento test_id está envolvido. Os detalhes constam na VulDB e são resumidos na entrada da NVD.

Impacto

A NVD atribui nota base 9.8 no CVSS 3.1 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve alto impacto em confidencialidade, integridade e disponibilidade, caso o vetor esteja correto.
Outras notas atribuídas pela CNA divergem: 7.3 no 3.1, 7.5 no 2.0 e 5.5 no 4.0.
Injeções de SQL podem permitir leitura, alteração ou exclusão de dados do banco, dependendo da aplicação e da configuração do banco. O registro não confirma qual desses resultados é possível neste caso.

Produtos e versões afetadas

O registro lista o produto afetado como Fabian Online Reviewer System, versão 1.0, enquanto a descrição cita code-projects Online Reviewer System 1.0. Essa divergência de nomes deve ser verificada no site do fornecedor.
Nenhuma versão corrigida é indicada. O campo de correções está vazio, o que significa que o status de correção é desconhecido, e não confirmado como inexistente.

Status de exploração

O registro informa que a CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não é confirmada por essa fonte.
A descrição afirma que o exploit foi divulgado publicamente. Uma issue no GitHub marcada como Exploit é citada no registro, na issue 18.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A probabilidade EPSS é 0.00376, com percentil 0.29665, conforme registrado.

Correção e mitigação

Consulte o fornecedor ou os mantenedores do projeto para verificar se há versão corrigida. O registro não documenta correção.
Restrinja o acesso a caminhos administrativos, incluindo a área de avaliações, a redes e contas confiáveis até que uma correção seja validada.
Oriente as equipes de desenvolvimento a usar consultas parametrizadas e validação no servidor para todos os identificadores recebidos pelo script afetado.
Considere desativar temporariamente ou isolar a aplicação, caso ela não seja essencial, e aplique o princípio do menor privilégio à conta de banco de dados usada por ela.

Orientações de detecção

Revise os logs do servidor web em busca de requisições ao caminho afetado, especialmente com valores incomuns ou malformados no parâmetro test_id.
Observe mensagens de erro do banco de dados ou aumento de falhas de consulta originadas pela aplicação.
Monitore acessos inesperados a dados ou alterações no banco da aplicação.

Limitações das informações disponíveis

O registro não traz versão corrigida, patch ou aviso oficial do fornecedor.
A faixa de versões afetadas além da versão 1.0 é desconhecida.
O nome do produto difere entre a lista de afetados e a descrição.
Uma referência da VulDB está marcada como Permissions Required, o que pode conflitar com o valor PR:N do vetor da NVD. Se é necessária autenticação, não é possível afirmar.
As notas da CNA divergem da nota da NVD, e a base de cada uma não é informada no registro.

Perguntas frequentes

A CVE-2026-2197 é conhecida por ser explorada ativamente?

O registro a indica como não listada no KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A descrição afirma que um exploit foi divulgado publicamente.

Existe versão corrigida do software afetado?

Nenhuma versão corrigida consta no registro. O status é desconhecido, por isso consulte o fornecedor ou os mantenedores e aplique controles compensatórios enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.