CVE-2026-54419: PIAF-HMS (PBX-In-A-Flash Hotel Management System): múltiplas injeções de SQL sem autenticação
O CVE-2026-54419 descreve múltiplas falhas de injeção de SQL sem autenticação no PIAF-HMS, de claudiopizzillo, um sistema de gestão hoteleira para o PBX-In-A-Flash. A aplicação não possui autenticação e concatena parâmetros HTTP diretamente em chamadas obsoletas a mysql_query. A CNA classifica a falha como crítica (CVSS 3.1 de 9,8), e as fontes não indicam nenhuma versão corrigida.
Visão geral
O CVE-2026-54419 abrange múltiplas vulnerabilidades de injeção de SQL (CWE-89) no PIAF-HMS, o PBX-In-A-Flash Hotel Management System publicado por claudiopizzillo no GitHub. Segundo o registro, a aplicação não possui nenhum mecanismo de autenticação. As consultas ao banco são montadas concatenando parâmetros HTTP enviados pelo usuário em chamadas obsoletas a mysql_query, sem sanitização, escape ou consultas parametrizadas. O registro aponta trechos de código em rooms.php e ec.php.
Impacto
A CNA atribui pontuação base CVSS 3.1 de 9,8 (crítica), com vetor AV:N/AC:L/PR:N/UI:N, além de uma pontuação CVSS 4.0 de 9,3. O vetor indica exploração pela rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Na prática, qualquer pessoa que alcance a interface web poderia ler, alterar ou apagar dados do banco MySQL subjacente, o que em um hotel pode incluir informações de hóspedes e quartos. Dependendo dos privilégios do banco e da configuração, o impacto pode se estender ao ambiente do PBX; isso é uma inferência, não algo afirmado nas fontes.
Produtos e versões afetados
- Produto: PIAF-HMS, de claudiopizzillo
- O projeto não tem versões lançadas; o registro identifica o commit mais recente como 389d2633441b65ced1c104212cd62be2bfca21e5.
- Não há faixas estruturadas de versões afetadas. Qualquer instalação baseada nesse código deve ser considerada vulnerável até prova em contrário.
Status de exploração
O CVE não consta no catálogo Known Exploited Vulnerabilities da CISA, e as fontes consultadas não registram exploração confirmada. O registro não traz pontuação EPSS. Como as falhas dispensam autenticação e o código-fonte é público, a barreira para abuso é baixa.
Correção e mitigação
O registro não informa versão corrigida nem patch. A ausência de correção nos dados não prova que ela não exista, mas não convém contar com uma.
- Retire imediatamente o PIAF-HMS de qualquer exposição à internet ou a redes não confiáveis.
- Se o sistema precisar continuar em uso, limite o acesso a hosts administrativos confiáveis por firewall, VPN ou autenticação em proxy reverso.
- Use uma conta de banco de dados com privilégios mínimos e isole-a de outros bancos no mesmo servidor.
- Quem mantém um fork próprio deve substituir as consultas concatenadas por consultas parametrizadas (por exemplo, prepared statements com mysqli ou PDO) e acrescentar uma camada de autenticação.
- Avalie migrar para uma solução de gestão hoteleira/PBX com manutenção ativa.
- Um WAF pode reduzir o risco temporariamente, mas não substitui a correção do código.
Orientações de detecção
- Faça o inventário de sistemas PBX-In-A-Flash e verifique se arquivos do PIAF-HMS (como rooms.php e ec.php) estão instalados e acessíveis.
- Revise logs de acesso do servidor web em busca de valores de parâmetros incomuns, caracteres de sintaxe SQL ou query strings anormalmente longas direcionadas a esses scripts.
- Monitore logs do MySQL para erros de consulta, atividade de enumeração de esquema e alterações de dados fora do fluxo normal.
- Procure contas novas inesperadas, registros alterados ou arquivos gravados pelo serviço de banco de dados.
Limitações das informações disponíveis
O status do registro no NVD é Deferred, e não há faixas de versões afetadas, informações de correção, EPSS ou SSVC. A lista completa de parâmetros e scripts vulneráveis não é detalhada além dos dois trechos de código referenciados. Não se sabe se o projeto é mantido ou se receberá correção.
Perguntas frequentes
O que é o CVE-2026-54419?
É um conjunto de vulnerabilidades de injeção de SQL sem autenticação no PIAF-HMS, de claudiopizzillo, causadas pela concatenação de parâmetros HTTP em chamadas a mysql_query sem sanitização ou parametrização.
Qual a gravidade?
A CNA classifica como crítica, com pontuação CVSS 3.1 de 9,8 e CVSS 4.0 de 9,3.
Está sendo explorada?
Não consta no catálogo KEV da CISA, e as fontes consultadas não registram exploração confirmada.
Existe correção?
O registro não informa versão corrigida nem patch. Restrinja o acesso de rede, aplique privilégios mínimos no banco e considere corrigir o código em um fork ou migrar para um produto mantido.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.