CVE-2026-2225: Injeção de SQL no login administrativo do News Portal Project 1.0
Foi relatada uma falha de injeção de SQL (CWE-89) no componente de login administrativo em /admin/index.php do News Portal Project 1.0, em que o argumento email pode ser manipulado remotamente. O NVD classifica a severidade como crítica, com pontuação CVSS 3.1 de 9,8, e o registro informa que um exploit público foi publicado. O registro não traz versão corrigida e a falha não consta no catálogo KEV da CISA.
Visão geral
Foi relatada uma falha de injeção de SQL (CWE-89) no componente Administrator Login, localizado em /admin/index.php do News Portal Project 1.0, da itsourcecode. Segundo o registro, o argumento email pode ser manipulado para injetar SQL, e o ataque pode ser iniciado remotamente. As informações vêm da entrada do NVD e do registro CVE.
Impacto
- O NVD indica pontuação CVSS 3.1 base de 9,8 (crítica), com vetor de rede, sem necessidade de privilégios, sem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
- Outras pontuações do registro variam conforme o provedor: CVSS 3.1 de 7,3, CVSS 4.0 de 5,5 e CVSS 2.0 de 7,5, todas atribuídas pelo CNA.
- Uma injeção de SQL em formulário de login pode expor ou alterar dados do banco. O efeito real depende da aplicação e da configuração do banco, o que as fontes não descrevem.
Produtos afetados e versões
- A descrição cita itsourcecode News Portal Project 1.0.
- O campo estruturado de produto afetado indica Clive 21 News Portal Project, versão 1.0. Os nomes divergem, e as fontes consultadas não esclarecem qual está correto.
- O registro não informa versão corrigida.
Status de exploração
- O registro afirma que um exploit foi publicado e pode ser utilizado.
- O registro indica que a falha não está listada no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
- A probabilidade EPSS registrada é 0,00469, com percentil de 0,38833.
Correção e mitigação
- A única referência ligada a correção no registro é uma entrada de mitigação em um rastreador de issues de terceiros. Analise-a e valide qualquer medida em ambiente de testes antes de aplicar em produção.
- Restrinja o acesso à área administrativa a redes confiáveis e considere controles de autenticação adicionais.
- Desenvolvedores devem usar consultas parametrizadas em todo o tratamento de login e entrada, além de validar o campo de e-mail no servidor.
- Se o projeto não for necessário, remova-o ou isole-o de dados sensíveis até que o código seja revisado.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de valores incomuns ou malformados em requisições de login ao caminho administrativo.
- Verifique logs do banco de dados em busca de erros ou padrões de consulta inesperados originados da página de login.
- Monitore sessões administrativas inesperadas ou contas criadas em torno de requisições suspeitas.
Limitações das informações disponíveis
- Não há aviso do fornecedor nem versão corrigida no registro.
- O nome do produto diverge entre a descrição e o campo de produto afetado.
- As pontuações CVSS variam entre provedores e o registro não explica as diferenças.
- As fontes não informam se a falha é alcançável em configurações padrão nem qual mecanismo de banco de dados é usado.
Perguntas frequentes
A CVE-2026-2225 está sendo explorada ativamente?
O registro afirma que um exploit foi publicado, mas a falha não consta no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Há versão corrigida disponível?
O registro não informa versão corrigida. Ele aponta apenas para uma entrada de mitigação em um rastreador de terceiros, então a ausência de versão corrigida não significa que não exista correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.