CVE-2026-2198: Injeção de SQL no Online Reviewer System 1.0 da code-projects em loaddata.php

Visão geral

A CVE-2026-2198 descreve uma fraqueza de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0. O código afetado está no arquivo /system/system/admins/assessments/pretest/loaddata.php e está relacionado ao argumento difficulty_id. O registro descreve o problema como acessível remotamente.

Impacto

A NVD atribui severidade 9.8 (crítica) no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acesso pela rede, ausência de privilégios, ausência de interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Injeções de SQL, em geral, podem permitir leitura ou alteração não autorizada de dados do banco; o impacto concreto nesta aplicação não é descrito no registro.
As pontuações da CNA VulDB no registro são diferentes: 7.3 (3.1), 7.5 (2.0) e 5.5 (4.0).

Produtos e versões afetadas

O campo de afetados indica Fabian Online Reviewer System, versão 1.0, enquanto a descrição cita code-projects Online Reviewer System 1.0. A divergência de nomes não é resolvida no registro.
Nenhuma versão corrigida é listada no registro.
Referência do produto: code-projects.

Situação de exploração

O registro informa que o exploit está publicamente disponível e pode ser usado.
A CVE não consta no CISA KEV no registro, portanto esta análise não afirma exploração ativa nem exploração in the wild.
O registro indica probabilidade EPSS de 0.00429 e percentil de 0.35405.

Correção e mitigação

Nenhuma correção do fornecedor é listada nas fontes consultadas. Confirme a situação com o fornecedor ou com os mantenedores do projeto antes de depender de qualquer atualização.
Restrinja o acesso de rede às rotas administrativas da aplicação, incluindo o módulo de avaliações.
Revise o tratamento da entrada difficulty_id e migre as consultas afetadas para instruções parametrizadas com validação estrita de entrada.
Se a aplicação não puder ser corrigida ou validada, considere desativá-la ou isolá-la de redes não confiáveis.

Orientações de detecção

Revise os logs do servidor web em busca de requisições incomuns ou malformadas ao caminho loaddata.php, especialmente com valores anormais no parâmetro difficulty_id.
Monitore mensagens de erro do banco de dados originadas por esta aplicação.
Audite o acesso à área administrativa e procure sessões ou alterações de dados inesperadas.

Limitações das informações disponíveis

O registro não inclui aviso do fornecedor, correção nem intervalo de versões afetadas além da versão 1.0.
O nome do produto difere entre o campo de afetados e a descrição.
Uma referência da VulDB traz a marcação Permissions Required, que o registro não explica; ela parece conflitar com o valor PR:N do vetor da NVD.
A data do EPSS no registro é posterior à data de publicação, por isso os números de EPSS devem ser interpretados com cautela.

Perguntas frequentes

A CVE-2026-2198 está sendo explorada ativamente?

O registro não lista a CVE no CISA KEV e não confirma exploração ativa nem exploração in the wild. Ele informa que existe exploit público disponível e que ele pode ser usado.

Existe versão corrigida para este problema?

Nenhuma versão corrigida é listada no registro nem nas fontes consultadas. Confirme a situação com o fornecedor ou com os mantenedores do projeto.

O que as equipes de defesa devem fazer agora?

Restrinja o acesso de rede à aplicação afetada, revise o tratamento da entrada difficulty_id, verifique os logs em busca de requisições incomuns ao loaddata.php e isole a aplicação caso não seja possível validar a correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.