CVE-2026-41462: Injeção de SQL não autenticada no login do ProjeQtor

Visão geral

A CVE-2026-41462 afeta a funcionalidade de login do ProjeQtor, uma aplicação de gestão de projetos. Segundo o registro, a variável de login é concatenada diretamente em uma consulta SQL sem parametrização ou sanitização, fraqueza classificada como CWE-89 (Injeção de SQL).

Impacto

• O registro indica que um atacante pode injetar expressões SQL pelo campo de nome de usuário no endpoint de autenticação, sem estar autenticado.
• A descrição lista consequências possíveis: criação de contas privilegiadas, leitura de dados sensíveis e execução de comandos do sistema operacional quando o usuário do banco de dados possui permissões elevadas.
• A pontuação base CVSS 3.1 é 9.8 (crítica). O vetor indica alcance pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
• A pontuação CVSS 4.0 registrada é 9.3, fornecida pela CNA VulnCheck.

Produtos e versões afetados

• Produto: ProjeQtor.
• Intervalo informado na descrição: versões 7.0 até 12.4.3.
• As listas estruturadas de afetados e correções do registro estão vazias, portanto o intervalo acima vem apenas do texto da descrição.
• Não é possível determinar, com os dados disponíveis, se versões fora desse intervalo são afetadas.

Status de exploração

• O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA.
• Não há exploração confirmada na natureza nas fontes consultadas.
• A probabilidade EPSS registrada é 0.00658, com percentil 0.50151. O EPSS estima a probabilidade de atividade de exploração e não a confirma.

Correção e mitigação

• O registro não identifica uma versão corrigida. Consulte o site do ProjeQtor e o aviso da VulnCheck para orientações do fabricante.
• Enquanto não houver correção confirmada, limite a exposição do endpoint de login: restrinja o acesso a redes confiáveis, posicione-o atrás de uma camada de acesso controlada e verifique se ele está acessível pela internet.
• Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação, para que uma falha no fluxo de login não alcance facilmente funções do sistema operacional ou dados administrativos sensíveis.
• Revise as contas de usuário existentes em busca de registros administrativos inesperados.

Orientações de detecção

• Monitore os logs de autenticação em busca de nomes de usuário incomuns ou malformados e de rajadas de falhas de login originadas de uma mesma fonte.
• Audite a atividade do banco de dados em busca de consultas inesperadas originadas da conta da aplicação.
• Revise periodicamente a lista de contas privilegiadas da aplicação e gere alertas para novas criações.

Limitações das informações disponíveis

• O registro não contém versão corrigida, identificador de patch nem dados estruturados de produtos afetados.
• As condições exatas de exploração, a configuração do banco de dados e o contexto de implantação não são descritos.
• As pontuações CVSS 3.1 e 4.0 vêm da CNA, e o registro não traz outra avaliação de provedor.

Perguntas frequentes

A CVE-2026-41462 está sendo explorada ativamente?

O registro não a inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Mesmo assim, por ser de severidade crítica, ela deve ser tratada como prioridade alta.

Quais versões do ProjeQtor são afetadas?

A descrição identifica as versões 7.0 até 12.4.3. A lista estruturada de afetados do registro está vazia, então confirme sua versão exata nas informações do fabricante.

Há uma versão corrigida disponível?

O registro não identifica uma versão corrigida. Consulte o site do ProjeQtor e o aviso da VulnCheck para atualizações e restrinja o acesso ao endpoint de login até que haja orientação confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.