CVE-2026-5019: code-projects Simple Food Order System: injeção de SQL no parâmetro Status de all-orders.php

Visão geral

O registro descreve uma falha de injeção de SQL (CWE-74, Injection) no argumento Status processado por all-orders.php no Simple Food Order System 1.0 da code-projects. A descrição situa o problema no componente Parameter Handler e indica que pode ser iniciado remotamente. Segundo o registro, já foi divulgado publicamente um exploit.

Impacto

Uma injeção de SQL pode permitir exposição, alteração ou exclusão de dados no banco da aplicação, dependendo das permissões de banco em uso (inferência).
A NVD atribui pontuação base 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade no seu vetor.
Outros provedores listados no registro apresentam pontuações menores, entre 5.5 e 7.5, em sistemas de pontuação diferentes.

Produtos e versões afetadas

Code-projects Simple Food Order System, versão 1.0.
Carmelo Simple Food Order System, versão 1.0 (listado separadamente no registro; a relação com o produto da code-projects não é explicada).
O registro não informa uma versão corrigida.

Status de exploração

O registro afirma que o exploit foi divulgado publicamente e pode ser utilizado. Os dados SSVC do registro classificam a exploração como prova de conceito e automatizável.
Este CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada ou explorada no mundo real nas fontes consultadas.

Correção e mitigação

Nenhuma correção do fornecedor é identificada no registro. A entrada de correção listada é do tipo mitigação e aponta para um registro de rastreador de terceiros: issue 17 no GitHub.
Restrinja o acesso de rede às páginas administrativas e de gestão de pedidos até que o código seja revisado.
Revise o tratamento do parâmetro Status e adote consultas parametrizadas ou instruções preparadas, validando as entradas com lista de valores permitidos (prática geral de desenvolvimento seguro).
Aplique o princípio do menor privilégio à conta de banco usada pela aplicação.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados no parâmetro Status de all-orders.php, e de erros de banco associados a esse endpoint.
Monitore leituras em massa inesperadas ou alterações nas tabelas de pedidos.
Considere regras de firewall de aplicação web que sinalizem metacaracteres de SQL nesse parâmetro, como controle temporário e não definitivo.

Limitações das informações disponíveis

O registro não inclui um aviso do fornecedor, uma versão corrigida ou um patch confirmado.
A relação entre os dois nomes de produto listados não é explicada.
A entrada EPSS contém uma data incompatível com a linha do tempo de publicação, por isso não é usada na análise.
Os detalhes técnicos do caminho de código vulnerável se limitam ao resumo do registro e às entradas de terceiros citadas.

Perguntas frequentes

Qual é a vulnerabilidade do CVE-2026-5019?

Segundo o registro, o argumento Status tratado por all-orders.php no Simple Food Order System 1.0 da code-projects é vulnerável a injeção de SQL, podendo ser explorado remotamente.

Este CVE está sendo explorado ativamente?

O CVE não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. O registro afirma que um exploit foi divulgado publicamente.

Existe uma versão corrigida?

O registro não identifica uma versão corrigida. Ele lista uma referência de mitigação de um rastreador de terceiros, então os administradores devem consultar o fornecedor e essa entrada para orientações atualizadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.