CVE-2026-53690: Injeção de SQL no login administrativo do Redeight CMS via parâmetro userEmail

Visão geral

A CVE-2026-53690 descreve uma falha de injeção de SQL no Redeight CMS versão 1.0. O problema está no tratamento do login pela requisição POST em /admin/index.php, onde o parâmetro userEmail é colocado em consultas SQL sem sanitização nem instruções parametrizadas. O registro está classificado como CWE-89 e foi publicado pelo CNA cvd@cert.pl, com o aviso disponível no CERT Polska.

Impacto

Segundo o registro, um atacante remoto não autenticado poderia executar comandos SQL arbitrários e extrair informações sensíveis do banco de dados.
A nota CVSS 4.0 de 9.3 reflete alto impacto na confidencialidade e na integridade do sistema vulnerável e baixo impacto na disponibilidade. O registro não indica impacto em sistemas subsequentes.
Inferência: a exposição do conteúdo do banco, como registros de contas, poderia facilitar o comprometimento adicional da área administrativa, mas as fontes não descrevem quais dados o banco armazena.

Produtos e versões afetados

Produto: Redeight CMS.
Versão citada explicitamente no registro: 1.0.
O registro não traz uma lista estruturada de versões ou produtos afetados. Não é possível afirmar se outras versões são impactadas.

Status de exploração

O registro indica que esta CVE não está listada no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS é de cerca de 0,51% de probabilidade, com percentil de aproximadamente 42, o que é uma estimativa estatística e não evidência de exploração ativa.

Correção e mitigação

O registro não lista versão corrigida. A ausência de correção listada não significa que ela não exista, por isso consulte o fornecedor e o aviso do CERT Polska para atualizações.
Se não houver correção disponível, restrinja o acesso ao caminho de login administrativo a redes confiáveis e avalie se o CMS pode ser substituído ou retirado da exposição pública.
Quando o código for mantido internamente, adote consultas parametrizadas e validação rigorosa de entrada em todos os campos de login.
Limite as permissões da conta de banco de dados usada pela aplicação ao mínimo necessário.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições POST incomuns ao endpoint de login administrativo, especialmente com valores anormais ou excessivamente longos no campo userEmail.
Monitore os logs do banco de dados em busca de erros ou padrões de consulta originados da conta da aplicação web que não correspondam à operação normal.
Trate tentativas de login repetidas ou não explicadas contra a área administrativa como eventos prioritários para investigação.

Limitações das informações disponíveis

O registro não informa versões corrigidas, não traz aviso do fornecedor além da publicação do CERT Polska, não apresenta lista completa de produtos ou versões afetados e não oferece cronologia de exploração. A nota CVSS 4.0 vem do CNA, e o registro não mostra outro provedor de pontuação. O status da fonte é Deferred. Esta análise não inclui detalhes técnicos de exploração, e o caminho exato do código vulnerável não é descrito nas fontes disponíveis. As referências completas estão na entrada da NVD.

Perguntas frequentes

O que é a CVE-2026-53690?

É uma vulnerabilidade de injeção de SQL no Redeight CMS versão 1.0, acionada pelo parâmetro userEmail da requisição POST de login em /admin/index.php, segundo o registro.

O registro indica exploração ativa?

Não. O registro indica que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe versão corrigida?

O registro não lista versão corrigida. Isso não significa que não exista correção, então consulte o fornecedor e o aviso do CERT Polska para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.