CVE-2026-5033: code-projects Accounting System: injeção de SQL via parâmetro cos_id em view_costumer.php
A CVE-2026-5033 é uma falha de injeção de SQL no arquivo /view_costumer.php do code-projects Accounting System 1.0, em que o argumento cos_id não é tratado com segurança. O registro informa que o ataque pode ser realizado remotamente e que há um exploit público, e a NVD atribui pontuação base 9.8. Não há versão corrigida nem correção do fornecedor nas fontes consultadas, por isso é recomendável restringir o acesso e aplicar tratamento seguro das entradas.
Visão geral
Foi relatada uma falha de injeção de SQL (CWE-89) no arquivo /view_costumer.php do code-projects Accounting System 1.0. Segundo o registro, a manipulação do argumento cos_id resulta em injeção de SQL e o ataque pode ser realizado remotamente. A CNA é a VulDB, e a entrada está descrita em VulDB entrada 353959.
Impacto
- A NVD informa pontuação base 9.8 (crítica).
- O registro indica impacto técnico parcial nos dados SSVC.
- Dependendo das permissões e da configuração do banco de dados, uma falha desta classe pode expor, alterar ou remover dados. Trata-se de uma inferência com base na classe da fraqueza, e não de um efeito confirmado neste produto.
Produtos e versões afetados
- Code-projects Accounting System, versão 1.0.
- Sherlock Accounting System, versão 1.0, listado como afetado no registro.
- Nenhuma versão corrigida está listada nas fontes consultadas.
Situação de exploração
O registro informa que o exploit está público e pode ser utilizado, e há referência a uma entrada pública de rastreamento de problemas marcada como exploit. Esta CVE não consta no catálogo KEV da CISA, portanto essa fonte não confirma exploração ativa. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS é 0.00567, com percentil 0.46322, e o SSVC registra a exploração como prova de conceito.
Correção e mitigação
- Identifique se esta aplicação está implantada no seu ambiente e se a página é acessível a partir de redes não confiáveis.
- Nenhuma correção do fornecedor está documentada nas fontes; consulte o fornecedor ou o mantenedor, ou substitua o componente por um produto com suporte.
- Restrinja o acesso à página afetada até que a revisão ou correção seja concluída.
- Use consultas parametrizadas e validação estrita no servidor para parâmetros de identificação como cos_id.
- Execute a aplicação com contas de banco de dados de menor privilégio.
Orientações de detecção
- Revise os logs do servidor web em busca de requisições a view_costumer.php com valores incomuns ou não numéricos em cos_id.
- Monitore logs da aplicação e do banco de dados em busca de erros SQL originados desta página.
- Gere alertas para atividades no banco de dados da conta da aplicação que fujam do comportamento normal.
Limitações das informações disponíveis
- O registro não contém versão corrigida, situação de correção do fornecedor nem aviso do fornecedor.
- As condições exatas para exploração não são descritas além do registro.
- A relação entre o Sherlock Accounting System listado e o produto code-projects não é explicada no registro.
Perguntas frequentes
Qual é a vulnerabilidade da CVE-2026-5033?
É uma falha de injeção de SQL no arquivo /view_costumer.php do code-projects Accounting System 1.0, acionada pela manipulação do argumento cos_id.
Há correção disponível?
As fontes consultadas não listam versão corrigida nem correção do fornecedor. Restrinja o acesso, valide as entradas e consulte o fornecedor ou o mantenedor.
Esta vulnerabilidade é conhecida por ser explorada na natureza?
Ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro informa que existe um exploit público.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.