CVE-2026-2212: Injeção de SQL no Online Music Site 1.0 da code-projects

Visão geral

A CVE-2026-2212 é um problema de injeção de SQL (CWE-89) relatado na aplicação code-projects Online Music Site 1.0. Segundo o registro, a falha está no arquivo /Administrator/PHP/AdminEditCategory.php e é acionada pela manipulação do argumento ID. O site do fornecedor é o code-projects.org, e a entrada também é acompanhada pela VulDB.

Impacto

A injeção de SQL, em geral, permite que um atacante influencie consultas ao banco de dados. O registro não detalha quais dados poderiam ser lidos ou alterados.
O vetor CVSS 3.1 informado pela NVD (AV:N, AC:L, PR:N, UI:N) descreve acesso remoto, de baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Inferência: o impacto em um ambiente real depende da configuração do banco de dados e da forma como o caminho administrativo está exposto, o que o registro não descreve.

Produtos e versões afetadas

O registro indica como produto afetado a versão 1.0 do Online Music Site. O campo de afetados nomeia o fornecedor como Fabian, enquanto a descrição cita code-projects. Essa divergência deve ser conferida nos materiais do próprio fornecedor.
Nenhuma versão corrigida é listada no registro. Isso não significa que não exista correção; significa apenas que nenhuma foi informada nas fontes consultadas.

Situação de exploração

O registro afirma que o exploit está publicamente disponível. Uma issue no GitHub marcada como relacionada a exploit consta entre as referências.
A CVE não consta no catálogo KEV da CISA neste registro. Não há exploração confirmada no campo nas fontes consultadas.
A probabilidade EPSS no registro é baixa (0.00376). O EPSS é uma estimativa estatística de probabilidade de exploração e não confirma atividade.

Correção e mitigação

Nenhuma correção do fornecedor é identificada no registro. Verifique se a aplicação ainda está em uso e se existe versão mantida ou correção oficial.
Restrinja o acesso ao diretório administrativo a redes e contas confiáveis, por meio de controles do servidor web ou da rede, até que o código seja revisado.
Desenvolvedores devem validar entradas e usar consultas parametrizadas no script afetado.
Se o projeto não for necessário, remova-o ou desative-o.

Orientações de detecção

Revise os logs do servidor web em busca de requisições ao script administrativo afetado com valores incomuns ou não numéricos no parâmetro ID, bem como mensagens de erro de banco de dados nas respostas.
Monitore a conta de banco de dados usada pela aplicação web para padrões de consulta inesperados.
A detecção neste nível é heurística. A ausência de alertas não comprova que o sistema não foi afetado.

Limitações das informações disponíveis

O registro não contém aviso do fornecedor, versão corrigida nem confirmação do fornecedor.
O nome do fornecedor difere entre o campo de afetados e a descrição.
As pontuações CVSS variam entre fontes: a NVD informa 9.8 no CVSS 3.1, enquanto as entradas do CNA incluem 7.3 no 3.1, 5.5 no 4.0 e 7.5 no 2.0.
Detalhes técnicos além da disponibilidade pública de um exploit não são fornecidos aqui, e esta análise não verificou a vulnerabilidade de forma independente.

Perguntas frequentes

A CVE-2026-2212 está sendo explorada ativamente?

O registro não a lista no KEV da CISA, e não aparece exploração confirmada no campo nas fontes consultadas. O registro afirma, porém, que existe um exploit público.

Existe versão corrigida do software afetado?

Nenhuma versão corrigida é listada no registro. Isso não confirma a ausência de correção, por isso consulte diretamente o fornecedor e os materiais do projeto.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.