CVE-2026-2221: Injeção de SQL no login do code-projects Online Reviewer System
A CVE-2026-2221 é uma falha de injeção de SQL no componente de login do code-projects Online Reviewer System 1.0, acessada pelo argumento Username do arquivo /login/index.php. A NVD classifica a severidade com 9,8 no CVSS 3.1, e o CNA informa que um exploit foi divulgado publicamente. O registro não traz correção e a vulnerabilidade não consta no KEV da CISA.
Visão geral
A CVE-2026-2221 é uma falha de injeção de SQL (CWE-89) no componente de login do code-projects Online Reviewer System 1.0. Segundo o CNA (VulDB), a falha está no arquivo /login/index.php e é disparada pela manipulação do argumento Username. O CNA descreve o ataque como executável remotamente e informa que um exploit foi divulgado publicamente.
Impacto
- A NVD atribui 9,8 no CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica ataque pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
- O CNA (VulDB) fornece outras pontuações: 7,3 no CVSS 3.1, 5,5 no CVSS 4.0 e 7,5 no CVSS 2.0.
- Uma injeção de SQL pode, em geral, permitir a leitura, alteração ou interrupção de dados tratados pelo banco. A extensão real depende da aplicação e da configuração do banco, que as fontes não descrevem.
Produtos e versões afetadas
- O registro indica o produto Fabian Online Reviewer System, versão 1.0. A descrição menciona code-projects Online Reviewer System 1.0, por isso o fabricante e o nome do produto devem ser confirmados na página oficial do projeto em code-projects.org.
- O componente afetado é o Login, em /login/index.php, pelo argumento Username.
Status de exploração
- O registro afirma que o exploit foi divulgado publicamente e pode ser usado em ataques.
- A CVE não consta no catálogo KEV da CISA, portanto nenhuma exploração ativa ou exploração confirmada na natureza aparece nas fontes consultadas.
- Uma issue no GitHub marcada como referência de exploit está citada na entrada do VulDB e na issue do GitHub. Seu conteúdo não é reproduzido aqui.
Correção e mitigação
- O registro não lista versão corrigida nem correção do fabricante. A ausência de dados de correção não significa que não exista solução; verifique o código do projeto e a entrada do VulDB para atualizações.
- Se o produto estiver em uso, restrinja o acesso à página de login a redes confiáveis e considere um firewall de aplicação web enquanto avalia o risco.
- Se o código for mantido internamente, use consultas parametrizadas ou prepared statements em todas as entradas de login e valide o campo Username no servidor.
- Considere isolar ou substituir a aplicação caso não haja correção, e revise os privilégios da conta de banco usada pela aplicação para que tenha apenas o necessário.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições de login com caracteres incomuns, valores muito longos ou falhas repetidas no campo Username.
- Monitore os logs de erro do banco de dados em busca de erros de sintaxe SQL originados do endpoint de login.
- Observe logins bem-sucedidos inesperados, novas contas ou alterações em registros de usuários.
Limitações das informações disponíveis
- Não há versão corrigida, aviso do fabricante ou patch no registro.
- O nome do produto afetado difere entre o campo do registro e a descrição, e a identidade do fabricante deve ser verificada.
- O registro inclui uma data de EPSS de 2026-10-13, posterior à data de publicação de 2026-02-09; isso deve ser verificado na fonte EPSS antes de ser usado.
- As fontes consultadas não descrevem o mecanismo de banco de dados, o histórico de versões da aplicação nem as condições exatas para exploração.
Perguntas frequentes
O que é a CVE-2026-2221?
É uma falha de injeção de SQL (CWE-89) no componente de login do code-projects Online Reviewer System 1.0, acionada pelo argumento Username do arquivo /login/index.php.
A CVE-2026-2221 está sendo explorada ativamente?
Ela não consta no KEV da CISA e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro informa que um exploit foi divulgado publicamente.
Existe correção para a CVE-2026-2221?
O registro não lista versão corrigida nem patch do fabricante. Verifique o código do projeto e a entrada do VulDB para atualizações, e adote restrições de acesso e validação de entradas enquanto isso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.