CVE-2026-2211: Injeção de SQL no code-projects Online Music Site

Visão geral

A CVE-2026-2211 descreve uma fraqueza de injeção de SQL (CWE-89) no code-projects Online Music Site 1.0. Segundo o registro da CNA, a manipulação do argumento ID de uma função administrativa de exclusão de categorias pode levar a injeção de SQL, e o ataque pode ser executado remotamente.

Impacto

Confirmado pelo registro: a manipulação de um argumento pode levar a injeção de SQL.
A NVD atribui pontuação base CVSS 3.1 de 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica alto impacto na confidencialidade, integridade e disponibilidade.
Inferência: por a falha estar em uma função administrativa, as consequências podem incluir leitura ou alteração não autorizada de dados do banco. As fontes não detalham quais dados seriam expostos.

Produtos e versões afetados

A descrição identifica o code-projects Online Music Site 1.0.
O campo de produto afetado no registro lista Fabian Online Music Site, versão 1.0. O nome do fornecedor difere da descrição, por isso deve ser verificado.
Nenhuma versão corrigida é listada no registro.

Status de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser utilizado.
O registro indica que a CVE não está listada no catálogo KEV da CISA (campo listed como falso).
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Correção e mitigação

O registro não lista correção do fornecedor. Verifique o site do projeto ou do fornecedor em busca de atualizações. Se não houver, considere remover a aplicação ou restringir seu uso.
Restrinja o acesso aos caminhos administrativos a redes confiáveis e exija autenticação forte para funções administrativas.
Aplique validação de entrada no servidor e consultas parametrizadas no código afetado, com revisão do componente por um desenvolvedor.
Um firewall de aplicação web pode servir como controle compensatório temporário, mas não substitui a correção no código.

Orientações de detecção

Revise os logs do servidor web em busca de requisições incomuns a endpoints administrativos de gestão de categorias, especialmente com valores anormais em parâmetros ID.
Monitore mensagens de erro do banco de dados e picos inesperados no volume de consultas.
Faça um inventário para verificar se a aplicação existe no seu ambiente, já que o registro cobre apenas este produto.

Limitações das informações disponíveis

Nenhuma versão corrigida, aviso do fornecedor ou patch é identificado no registro.
As pontuações variam por fonte: NVD 9.8 (CVSS 3.1); VulDB 7.3 (CVSS 3.1), 5.5 (CVSS 4.0) e 7.5 (CVSS 2.0).
A probabilidade EPSS é 0.00376, com percentil de 0.29664, datada de 2026-10-13 no registro.
O nome do fornecedor é inconsistente entre a descrição e o campo de produto afetado.
A referência de exploit é uma entrada pública em um rastreador de problemas. Seu conteúdo não foi analisado aqui.

Perguntas frequentes

Existe correção para a CVE-2026-2211?

O registro não lista versão corrigida. A ausência de correção listada não prova que ela não exista, por isso verifique o site do projeto ou do fornecedor e aplique validação de entrada e consultas parametrizadas no código afetado.

Esta vulnerabilidade está sendo explorada ativamente?

O registro informa que o exploit foi divulgado publicamente, mas esta CVE não está listada no catálogo KEV da CISA e não há exploração confirmada na natureza nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.