Plataforma
php
Componente
phpgurukul-online-shopping-portal-project
Corrigido em
2.1.1
A vulnerabilidade CVE-2026-5639 é uma falha de SQL Injection identificada no PHPGurukul Online Shopping Portal Project, especificamente no arquivo /admin/update-image3.php. A exploração bem-sucedida permite a manipulação de parâmetros, levando à injeção de código SQL e possível acesso não autorizado aos dados. Essa vulnerabilidade afeta a versão 2.1 do software e já foi explorada publicamente, exigindo atenção imediata. No momento, não há um patch oficial disponível.
Uma vulnerabilidade de injeção SQL foi descoberta no projeto Online Shopping Portal Project da PHPGurukul, versão 2.1 (CVE-2026-5639). Esta vulnerabilidade afeta uma função desconhecida dentro do arquivo /admin/update-image3.php, especificamente no componente Parameter Handler. Um atacante pode explorar esta falha manipulando o argumento 'filename', o que poderia permitir a execução de código SQL malicioso no banco de dados do portal. A gravidade da vulnerabilidade é classificada como 6.3 na escala CVSS, indicando um risco moderado. A exploração é remota, o que significa que um atacante pode aproveitar a vulnerabilidade de qualquer lugar com acesso à rede. A publicação de um exploit funcional aumenta significativamente o risco de ataques.
A vulnerabilidade reside na forma como o componente Parameter Handler lida com o argumento 'filename' no arquivo /admin/update-image3.php. Um atacante pode injetar código SQL malicioso neste argumento, que é então executado no banco de dados. A publicação de um exploit funcional significa que os atacantes agora têm uma ferramenta comprovada para explorar esta vulnerabilidade. Isso aumenta a probabilidade de que os sistemas vulneráveis sejam atacados, especialmente se nenhuma medida de mitigação for tomada. A natureza remota da vulnerabilidade a torna particularmente perigosa, pois os atacantes não precisam de acesso físico ao servidor para explorá-la.
Organizations and individuals using the PHPGurukul Online Shopping Portal Project version 2.1, particularly those hosting their own instances or using shared hosting environments, are at risk. Websites relying on this project for e-commerce functionality are especially vulnerable to data breaches and service disruption.
• php / server:
grep -r 'filename = $_POST['filename']' /var/www/html/admin/update-image3.php• php / server:
journalctl -u php-fpm | grep 'SQL injection attempt'• generic web:
curl -I <affected_url>/admin/update-image3.php?filename='; DROP TABLE users;--disclosure
Status do Exploit
EPSS
0.01% (percentil 1%)
CISA SSVC
Vetor CVSS
Atualmente, não foi fornecida uma correção oficial (fix) para esta vulnerabilidade pela PHPGurukul. A mitigação imediata mais eficaz é atualizar para uma versão mais recente do projeto Online Shopping Portal Project assim que estiver disponível. Enquanto isso, recomenda-se implementar medidas de segurança adicionais, como a validação e o saneamento rigorosos de todas as entradas do usuário, especialmente aquelas relacionadas a nomes de arquivo. Além disso, restringir o acesso ao painel de administração /admin/update-image3.php apenas a usuários autorizados e monitorar a atividade do sistema em busca de padrões suspeitos pode ajudar a reduzir o risco. Considerar o uso de um firewall de aplicativos web (WAF) para filtrar tráfego malicioso também é uma opção.
Actualice el proyecto PHPGurukul Online Shopping Portal Project a una versión corregida. Verifique y sanee las entradas del usuario, especialmente el parámetro 'filename', para prevenir la inyección SQL. Implemente validación y escape adecuados de los datos antes de utilizarlos en consultas SQL.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
É um identificador único para esta vulnerabilidade, usado para rastreá-la e referenciá-la em diferentes contextos de segurança.
É um projeto de código aberto para criar um portal de compras online usando PHP.
Se você estiver usando a versão 2.1 do projeto Online Shopping Portal Project, provavelmente será vulnerável. Realize uma auditoria de segurança para confirmar.
Embora não existam ferramentas específicas, os scanners de vulnerabilidades web podem detectar injeções SQL em geral. Revise o código fonte em busca da vulnerabilidade.
Isole o sistema afetado, altere as senhas de todos os usuários, realize uma auditoria forense e restaure a partir de um backup limpo.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.