CVE-2026-55740: Nur-Alam39 bus-ticket: injeção de SQL sem autenticação em bus_info.php
O projeto PHP bus-ticket, de Nur-Alam39, possui uma falha de injeção de SQL sem autenticação em bus_info.php, onde o parâmetro busid enviado via POST é concatenado em uma consulta MySQL sem sanitização ou parametrização. A CNA classifica a falha como crítica, com CVSS 3.1 de 9,8. O projeto não tem versões lançadas e nenhuma correção consta nas fontes consultadas.
Visão geral
O CVE-2026-55740 descreve uma vulnerabilidade de injeção de SQL (CWE-89) no bus-ticket, um pequeno projeto PHP/MySQL de venda de passagens de ônibus publicado no GitHub por Nur-Alam39. No arquivo bus_info.php, o valor busid enviado via HTTP POST é anexado diretamente a uma consulta sobre a tabela bus_info. Não há escape, sanitização nem uso de prepared statements, e o valor fica em posição numérica, sem aspas — ou seja, o atacante sequer precisa escapar de uma string literal. O trecho afetado pode ser visto nas linhas de código referenciadas.
Impacto
A CNA atribuiu nota base CVSS 3.1 de 9,8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, além de nota CVSS 4.0 de 9,3. O vetor indica acesso pela rede, baixa complexidade e ausência de autenticação ou interação do usuário. Uma exploração bem-sucedida pode permitir que um atacante remoto leia, altere ou apague dados do banco da aplicação, como registros de passageiros e reservas. Conforme os privilégios do banco e a configuração do servidor, impactos mais amplos no ambiente podem ser possíveis, embora as fontes não detalhem isso.
Produtos e versões afetados
- Produto: Nur-Alam39 bus-ticket
- Versões: o projeto não possui versões formais; o registro aponta o commit mais recente 459cabdbeb99c00225b26e46e3c2c30ae1de7bad como afetado.
- O registro não traz faixas estruturadas de versões afetadas. Qualquer implantação derivada desse código deve ser considerada vulnerável, salvo se a consulta tiver sido reescrita.
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. Não há pontuação EPSS disponível. Como a falha é fácil de localizar no código público e não exige autenticação, tentativas oportunistas contra instâncias expostas são plausíveis.
Correção e mitigação
O registro não lista correção oficial nem commit corrigido. Recomenda-se:
- Reescrever a consulta em bus_info.php usando prepared statements com parâmetros vinculados (por exemplo, PDO ou mysqli) e converter busid para inteiro antes do uso.
- Revisar o restante do código em busca de consultas montadas por concatenação.
- Executar a aplicação com uma conta de banco de menor privilégio, sem permissão para alterar esquemas ou acessar outros bancos.
- Limitar a exposição pública da aplicação ou colocá-la atrás de um WAF com regras contra injeção de SQL, como controle temporário.
- Tratar o projeto como código não mantido, inadequado para produção sem revisão e endurecimento independentes.
Orientações de detecção
- Analisar logs do servidor web em busca de requisições POST para bus_info.php com valores de busid não numéricos ou anormalmente longos.
- Monitorar logs do banco por erros de sintaxe, consultas UNION inesperadas ou funções de atraso originadas pela conta da aplicação.
- Usar assinaturas de WAF ou IDS para padrões genéricos de injeção de SQL nesse endpoint.
- Verificar alterações inesperadas no conteúdo do banco ou criação de registros administrativos.
Limitações das informações disponíveis
O registro no NVD está com status Deferred, portanto o NVD não fez enriquecimento próprio. Não há faixas de versões afetadas, versão corrigida, dados EPSS ou SSVC, nem aviso do mantenedor. As notas CVSS vêm da CNA. Não se sabe se o mantenedor pretende corrigir a falha.
Perguntas frequentes
O que é o CVE-2026-55740?
Uma injeção de SQL sem autenticação no bus_info.php do projeto bus-ticket de Nur-Alam39, em que o parâmetro busid enviado via POST é concatenado em uma consulta MySQL sem sanitização ou parametrização.
Qual a gravidade?
A CNA classifica como crítica: CVSS 3.1 de 9,8 e CVSS 4.0 de 9,3.
A falha está sendo explorada?
Não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Existe correção?
Nenhuma correção consta no registro. Recomenda-se reescrever a consulta com prepared statements e conversão para inteiro, além de limitar a exposição da aplicação.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.