Injeção SQL (SQL Injection) em view_costumer.php no code-projects Accounting System Parameter

Uma vulnerabilidade de injeção SQL foi detectada no sistema de contabilidade Code-Projects versão 1.0. Esta vulnerabilidade afeta uma funcionalidade desconhecida dentro do arquivo /viewcostumer.php, especificamente o componente 'Parameter Handler'. Um atacante pode manipular o argumento 'cosid' para injetar código SQL malicioso. A exploração é remota, o que significa que um atacante pode explorar a vulnerabilidade de qualquer local com acesso à rede. A severidade da vulnerabilidade é classificada como 7.3 na escala CVSS, indicando um risco significativo. O mais preocupante é que a exploração agora é pública, tornando-a facilmente acessível para que agentes maliciosos a utilizem. Isso pode resultar na exposição de dados confidenciais de clientes, modificação de registros contábeis ou até mesmo controle total do sistema de contabilidade.

Small and medium-sized businesses (SMBs) relying on code-projects Accounting System version 1.0 for their financial management are particularly at risk. Organizations with limited security resources or those who haven't implemented robust input validation practices are also more vulnerable. Shared hosting environments where multiple users share the same server instance could experience cross-tenant exploitation if one user's account is compromised.

• php: Examine access logs for requests to /viewcostumer.php with unusual or malformed cosid parameters. Use grep to search for SQL keywords (e.g., SELECT, UNION, INSERT) within these requests.

grep 'SELECT|UNION|INSERT' /var/log/apache2/access.log | grep /view_costumer.php

• generic web: Use curl to test the /view_costumer.php endpoint with various SQL injection payloads to observe the application's response. Look for error messages or unexpected behavior.

curl 'http://example.com/view_costumer.php?cos_id=1' 2>&1 | grep -i error

1. 2026-03-29Disclosure

   disclosure

1. Reservado2026-03-27
2. Publicada2026-03-29
3. Modificada2026-03-30
4. EPSS atualizado2026-04-04

Atualmente, não há correção oficial fornecida pela Code-Projects para esta vulnerabilidade. A mitigação mais imediata é desativar temporariamente a funcionalidade afetada em /view_costumer.php até que uma solução seja implementada. Recomendamos fortemente entrar em contato com a Code-Projects para solicitar uma atualização de segurança. Enquanto isso, medidas de segurança adicionais podem ser implementadas, como validação e higienização rigorosas de todas as entradas de usuário, implementação de um Firewall de Aplicações Web (WAF) e limitação de privilégios de banco de dados. Monitorar ativamente os logs do sistema em busca de atividades suspeitas também é crucial. A falta de uma correção oficial requer ação proativa e avaliação contínua de riscos.