Plataforma
php
Componente
course-sel
Corrigido em
1.0.1
1.1.1
Uma vulnerabilidade de SQL Injection foi detectada no CourseSEL nas versões de 1.0.0 a 1.1.0. Essa falha reside na função check_sel do componente HTTP GET Parameter Handler, permitindo a manipulação de consultas SQL. A exploração remota é possível, e o fornecedor não respondeu aos alertas de divulgação.
Uma vulnerabilidade de injeção SQL foi identificada no halex CourseSEL até a versão 1.1.0. A função check_sel no arquivo Apps/Index/Controller/IndexController.class.php é vulnerável devido à manipulação do parâmetro seid em requisições HTTP GET. Um atacante remoto pode explorar esta vulnerabilidade para executar código SQL malicioso no banco de dados, o que pode resultar na divulgação, modificação ou exclusão de dados sensíveis. A gravidade da vulnerabilidade é classificada como CVSS 6.3, indicando um risco moderado. A falta de resposta do fornecedor ao alerta precoce sobre esta divulgação pública agrava a situação, deixando os usuários expostos a um risco significativo. A exploração bem-sucedida pode comprometer a integridade e a confidencialidade das informações armazenadas no banco de dados do CourseSEL.
A vulnerabilidade é explorada através da manipulação do parâmetro seid em requisições HTTP GET direcionadas à função check_sel em Apps/Index/Controller/IndexController.class.php. A divulgação pública do exploit facilita seu uso por atacantes com diferentes níveis de habilidade técnica. A natureza remota da vulnerabilidade significa que pode ser explorada de qualquer lugar com acesso à Internet. A falta de resposta do fornecedor indica uma possível falta de manutenção e suporte para o software, o que aumenta o risco de exploração contínua. A vulnerabilidade é particularmente preocupante para organizações que utilizam CourseSEL para gerenciar informações sensíveis de alunos ou cursos.
Status do Exploit
EPSS
0.03% (percentil 8%)
CISA SSVC
Vetor CVSS
Dado que o fornecedor não forneceu uma solução, a mitigação imediata envolve desabilitar ou atualizar para uma versão posterior do halex CourseSEL que corrija esta vulnerabilidade. Se a atualização não for possível, recomenda-se implementar medidas de segurança adicionais, como firewalls de aplicativos web (WAF) que possam detectar e bloquear tentativas de injeção SQL. Além disso, é crucial validar e higienizar rigorosamente todas as entradas do usuário, especialmente os parâmetros GET, para prevenir a injeção de código malicioso. Monitorar ativamente os logs do servidor em busca de padrões suspeitos de injeção SQL também pode ajudar a detectar e responder a possíveis ataques. Considere a segmentação da rede para limitar o impacto potencial de uma violação de segurança.
Actualice el módulo CourseSEL a una versión corregida que solucione la vulnerabilidad de inyección SQL en el parámetro seid. Contacte al proveedor para obtener información sobre las versiones corregidas, ya que no han respondido a las notificaciones de seguridad. Como medida preventiva, valide y escapa todas las entradas del usuario para evitar futuras inyecciones SQL.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
A injeção SQL é um ataque que permite aos atacantes inserir código SQL malicioso em uma consulta de banco de dados, o que pode comprometer a segurança da aplicação.
Um atacante pode acessar, modificar ou excluir dados sensíveis armazenados no banco de dados do CourseSEL.
Desabilitar ou atualizar para uma versão corrigida do CourseSEL é a melhor opção. Se não for possível, implementar medidas de segurança adicionais como WAF e validação de entradas.
A falta de resposta do fornecedor é preocupante e sugere uma possível falta de manutenção do software.
Você pode encontrar mais informações sobre CVE-2026-5537 em bancos de dados de vulnerabilidades como o National Vulnerability Database (NVD).
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.