CVE-2026-5368: Projectworlds Car Rental Project: injeção de SQL em login.php pelo parâmetro uname
A CVE-2026-5368 é uma falha de injeção de SQL no arquivo /login.php do projectworlds Car Rental Project 1.0, acionada pelo argumento uname. O NVD atribui pontuação base CVSS 3.1 de 9,8 (crítica), e o registro informa que um exploit foi divulgado publicamente. O CISA KEV não lista esta CVE, e nas fontes consultadas não há confirmação de exploração ativa.
Visão geral
A CVE-2026-5368 afeta o arquivo /login.php do projectworlds Car Rental Project 1.0. Segundo o registro, a manipulação do argumento uname no manipulador de parâmetros causa injeção de SQL (CWE-89). O registro foi publicado em 02/04/2026 e atribuído pela VulDB.
Impacto
O NVD atribui pontuação base CVSS 3.1 de 9,8, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve um problema acessível pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. Outras pontuações do registro variam de 5,5 a 9,8, conforme a versão do CVSS e o fornecedor da pontuação. A avaliação SSVC do registro classifica o impacto técnico como parcial e indica que o problema é automatizável.
Produtos e versões afetadas
- Projectworlds Car Rental Project, versão 1.0.
Nenhuma outra versão afetada aparece nas fontes consultadas.
Status de exploração
O CISA KEV não lista a CVE-2026-5368. Nas fontes consultadas não há confirmação de exploração ativa. O registro informa que um exploit foi divulgado publicamente, e uma entrada de rastreador de issues de terceiros é marcada como referência de exploit. O valor SSVC de exploração está registrado como prova de conceito. A probabilidade EPSS é 0,00572, com percentil de 0,4659.
Correção e mitigação
O registro não identifica correção do fornecedor nem versão corrigida. A única entrada de correção é uma referência de mitigação para uma issue de terceiros no GitHub. Enquanto não houver correção oficial confirmada, recomenda-se restringir o acesso à página de login afetada, limitar a exposição a redes não confiáveis, verificar se a aplicação ainda está em uso e considerar sua substituição ou endurecimento. Desenvolvedores devem usar consultas parametrizadas e validação rigorosa de entradas nos campos de autenticação.
Orientações de detecção
Em nível geral, revise os logs do servidor web e da aplicação em busca de requisições de login com valores incomuns ou malformados no campo uname, mensagens de erro de banco de dados inesperadas no endpoint de login e atividade de autenticação fora do padrão. Correlacione esses eventos com os endereços de origem e revise os logins bem-sucedidos que ocorreram em seguida.
Limitações das informações disponíveis
As fontes consultadas não incluem aviso do fornecedor, versão corrigida confirmada nem descrição técnica detalhada além do resumo. A faixa de versões afetadas se limita à 1.0 no registro. As pontuações diferem entre versões do CVSS e fornecedores, e as fontes não explicam essa diferença em detalhe.
Perguntas frequentes
O que é a CVE-2026-5368?
É uma vulnerabilidade de injeção de SQL no arquivo /login.php do projectworlds Car Rental Project 1.0, acionada pelo argumento uname.
A CVE-2026-5368 é conhecida como explorada ativamente?
O CISA KEV não lista esta CVE, e nas fontes consultadas não há confirmação de exploração ativa. O registro informa que um exploit foi divulgado publicamente.
Existe correção oficial?
O registro não identifica correção do fornecedor nem versão corrigida. Há apenas uma referência de mitigação para uma issue de terceiros no GitHub.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.