CVE-2026-2220: code-projects Online Reviewer System 1.0: injeção de SQL via difficulty_id
A CVE-2026-2220 é uma falha de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0, acionada pela manipulação do argumento difficulty_id e descrita como explorável remotamente. A NVD atribui CVSS 3.1 9.8 (crítica), e o CNA VulDB informa pontuações menores em outras versões do CVSS. O registro indica que há exploit público, mas a CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-2220 afeta o code-projects Online Reviewer System 1.0. A fraqueza é classificada como injeção de SQL (CWE-89) e envolve uma função não identificada em um arquivo PHP da aplicação que processa o argumento difficulty_id. O registro foi publicado em 09/02/2026 e analisado pelo CNA VulDB.
Impacto
- O vetor NVD CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica acesso pela rede, sem privilégios e sem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
- Uma injeção de SQL pode permitir que um atacante leia, altere ou apague dados do banco quando a aplicação não separa adequadamente a entrada do usuário das consultas. O impacto real depende das permissões do banco e da forma como o sistema foi implantado.
Produtos e versões afetadas
- O registro indica a versão 1.0 do code-projects Online Reviewer System como afetada.
- A entrada de produto afetado usa o nome Fabian Online Reviewer System, diferente do nome do fornecedor na descrição. Essa divergência deve ser verificada na página do code-projects.
- Nenhuma versão corrigida consta no registro.
Status de exploração
- A CVE não consta no catálogo KEV da CISA nas fontes consultadas, portanto não há exploração ativa confirmada.
- A descrição do registro afirma que o exploit está publicamente disponível e pode ser utilizado. Uma issue de acompanhamento marcada como Exploit é citada em GitHub issue 20.
Remediação e mitigação
- Nenhuma correção do fornecedor é identificada no registro. Verifique o site do code-projects em busca de atualizações ou versões substitutas.
- Se a aplicação não puder ser corrigida, restrinja o acesso à área administrativa, exija autenticação e aplique controles de rede, removendo a exposição à internet.
- Adote validação de entradas e consultas parametrizadas no código. Peça ao desenvolvedor ou integrador que confirme o tratamento seguro do parâmetro difficulty_id.
- Revise as contas de banco usadas pela aplicação e aplique o princípio do menor privilégio.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores incomuns no parâmetro difficulty_id, como caracteres inesperados ou mensagens de erro do banco.
- Monitore consultas, erros ou exportações de dados inesperados originados da conta da aplicação no banco.
- Acompanhe as entradas da NVD e do VulDB para atualizações sobre o status do problema.
Limitações das informações disponíveis
- O registro não identifica o nome da função vulnerável, uma versão corrigida nem um aviso oficial do fornecedor.
- As pontuações variam conforme a fonte: a NVD informa CVSS 3.1 9.8, enquanto o VulDB informa 7.3 em CVSS 3.1, 5.5 em CVSS 4.0 e 7.5 em CVSS 2.0.
- O nome do produto afetado não coincide com o nome do fornecedor na descrição.
- O valor EPSS presente no registro deve ser conferido com os dados atuais da FIRST quanto à data e relevância.
Perguntas frequentes
O que é a CVE-2026-2220?
É uma vulnerabilidade de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0, acionada pelo argumento difficulty_id e descrita como explorável remotamente.
A CVE-2026-2220 é explorada ativamente?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro informa que há exploit público disponível.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.