CVE-2026-2223: Injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0

Visão geral

Foi relatada uma falha de injeção de SQL (CWE-89) no code-projects Online Reviewer System 1.0. Segundo o registro, o problema está no index.php da seção de pré-testes de avaliações de estudantes, onde entradas fornecidas pelo usuário no argumento ID podem afetar consultas ao banco de dados. As fontes incluem a entrada da VulDB e o registro no NVD.

Impacto

O NVD atribui pontuação 9.8 pelo CVSS 3.1, com vetor de rede, sem necessidade de privilégios, sem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
De forma geral, a injeção de SQL pode permitir leitura ou alteração não autorizadas de dados do banco e pode interromper a disponibilidade da aplicação.
As pontuações do CNA presentes no registro são menores: 7.3 no CVSS 3.1, 5.5 no 4.0 e 7.5 no 2.0. A severidade depende, portanto, da fonte de pontuação considerada.

Produtos e versões afetados

A descrição cita o code-projects Online Reviewer System 1.0.
O campo estruturado de produto afetado indica Fabian Online Reviewer System, versão 1.0. Essa divergência de nome deve ser verificada no site do projeto.
O registro não lista versão corrigida. Isso não significa que não exista correção.

Status de exploração

O registro indica que este CVE não consta no catálogo CISA KEV, portanto a exploração ativa não é confirmada por esse catálogo.
A descrição afirma que o exploit foi divulgado publicamente e pode ser utilizado. Uma issue no GitHub está marcada como referência de exploit.
A probabilidade EPSS é 0.0049, com percentil 0.40463. Trata-se de estimativa estatística e não de evidência de ataques observados.

Correção e mitigação

Mapeie todas as implantações do Online Reviewer System e verifique se a página afetada é acessível a partir de redes não confiáveis.
Restrinja o acesso a usuários confiáveis ou redes internas até que uma correção verificada ou revisão de código seja concluída.
Aplique a correção do fornecedor ou do mantenedor quando estiver disponível. Se não houver, considere substituir ou remover o componente.
Use consultas parametrizadas para identificadores fornecidos pelo usuário e contas de banco com privilégio mínimo.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados nos parâmetros enviados à página afetada.
Monitore mensagens de erro de banco de dados devolvidas a clientes e picos inesperados de requisições às páginas de avaliação.
Considere regras de firewall de aplicação web como controle compensatório temporário, testadas quanto a falsos positivos.

Limitações das informações disponíveis

O registro não lista versões corrigidas, patches ou avisos do fornecedor.
O nome do produto difere entre a descrição e o campo de produto afetado.
As fontes consultadas não mostram o quanto esse software está implantado.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada.

Perguntas frequentes

Esta CVE é confirmada como explorada ativamente?

O registro não a lista no CISA KEV, portanto a exploração ativa não é confirmada pelas fontes consultadas. A descrição afirma, porém, que um exploit público foi divulgado e pode ser utilizado.

Há uma versão corrigida disponível?

O registro não lista versão corrigida. Verifique as páginas do projeto e do fornecedor e aplique controles compensatórios, como acesso restrito, até que exista correção verificada.

Por que as pontuações de severidade diferem?

O NVD atribui pontuação CVSS 3.1 de 9.8, enquanto as pontuações do CNA VulDB no registro são 7.3 no 3.1, 5.5 no 4.0 e 7.5 no 2.0. Cada pontuação vem de uma fonte e versão de método diferentes.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.