CVE-2026-2199: Injeção de SQL no Online Reviewer System 1.0 da code-projects em user-delete.php

Visão geral

O CVE-2026-2199 é uma fraqueza de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects. Segundo o registro, o problema está em uma função não especificada do arquivo user-delete.php, onde o argumento ID é processado de forma que permite injeção de SQL. O registro indica que a falha pode ser acessada remotamente e que um exploit público foi divulgado.

Impacto

Uma injeção de SQL pode permitir a leitura, alteração ou remoção de dados tratados pela consulta afetada, dependendo da configuração da aplicação e do banco de dados.
O NVD atribui pontuação base CVSS 3.1 de 9.8 (crítica), refletindo alto impacto em confidencialidade, integridade e disponibilidade, sem necessidade de privilégios ou interação do usuário.
As pontuações fornecidas pelo CNA e listadas no registro são menores (7.3 no CVSS 3.1, 7.5 no CVSS 2.0 e 5.5 no CVSS 4.0), então a classificação de severidade depende da fonte de pontuação adotada.

Produtos e versões afetados

O registro lista o produto afetado como Fabian Online Reviewer System, versão 1.0. A descrição menciona code-projects Online Reviewer System 1.0. Os nomes divergem e devem ser verificados contra a aplicação instalada.
Nenhuma versão corrigida é listada no registro. A ausência de versão corrigida não confirma que não exista correção.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro, portanto não há confirmação de exploração ativa pelo KEV.
O registro afirma que o exploit foi divulgado publicamente e que pode ser usado em ataques. Uma issue no GitHub, marcada como referência de exploit, consta entre as fontes.
Não há exploração ativa confirmada nas fontes consultadas.

Correção e mitigação

Verifique se o Online Reviewer System está implantado no seu ambiente, em especial a versão 1.0.
Substitua SQL dinâmico montado a partir de parâmetros de requisição por consultas parametrizadas ou prepared statements, e valide o valor de ID conforme o tipo esperado.
Restrinja o acesso às páginas administrativas de gestão de usuários a redes e contas confiáveis, protegidas por autenticação forte.
Como o registro não indica correção do fornecedor, considere remover ou isolar a aplicação até que haja uma versão ou alteração de código verificada pelo mantenedor.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação.

Orientações de detecção

Revise logs do servidor web e da aplicação em busca de requisições incomuns ou malformadas para user-delete.php, especialmente com caracteres ou estrutura inesperados no parâmetro ID.
Monitore logs de erro do banco de dados em busca de erros de sintaxe SQL originados pela aplicação.
Audite exclusões recentes de usuários e alterações em contas administrativas em busca de atividade inesperada.
Use regras de firewall de aplicação web para sinalizar conteúdo suspeito nesse endpoint, lembrando que esses controles não substituem a correção do código.

Limitações das informações disponíveis

O registro não identifica um aviso oficial do fornecedor nem uma versão corrigida verificada.
As pontuações CVSS diferem entre as fontes, e o registro inclui uma referência marcada como Permissions Required, enquanto o vetor do NVD indica que nenhum privilégio é necessário. Essa inconsistência não foi resolvida.
Os dados do EPSS indicam baixa probabilidade de exploração na data do registro, o que não significa que a exploração esteja ausente.
Os nomes exatos do produto e do código afetado devem ser confirmados na aplicação implantada.

Perguntas frequentes

O que é o CVE-2026-2199?

É uma vulnerabilidade de injeção de SQL (CWE-89) no Online Reviewer System 1.0 da code-projects, no arquivo user-delete.php, onde o argumento ID não é tratado com segurança.

Este CVE está sendo explorado ativamente?

Ele não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. O registro informa que um exploit público foi divulgado.

Existe versão corrigida?

O registro não lista versão corrigida. Isso não confirma que não exista correção, então consulte o mantenedor ou fornecedor e considere isolar a aplicação enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.