Plataforma
php
Componente
itsourcecode
Corrigido em
1.0.1
CVE-2026-5823 describes a SQL Injection vulnerability discovered in the itsourcecode Construction Management System. This flaw allows attackers to potentially manipulate database queries, leading to unauthorized data access or modification. The vulnerability impacts versions 1.0.0 through 1.0 and is accessible remotely. A patch is expected to be released by the vendor.
Uma vulnerabilidade de injeção SQL (CVE-2026-5823) foi identificada no itSourcecode Construction Management System versão 1.0, especificamente dentro do arquivo /borrowedtoolreport.php. A manipulação do argumento 'Home' permite que um atacante injete código SQL malicioso, comprometendo potencialmente a integridade e a confidencialidade do banco de dados. O exploit está publicamente disponível e pode ser explorado remotamente, apresentando um risco significativo. Dados sensíveis, como informações de projetos, detalhes de empréstimo de ferramentas e credenciais de usuários, podem ser expostos ou modificados. Esta vulnerabilidade pode permitir que um atacante obtenha acesso não autorizado a informações críticas, faça modificações não autorizadas nos dados ou até mesmo assuma o controle do sistema.
A vulnerabilidade CVE-2026-5823 é explorada através da manipulação do argumento 'Home' dentro do arquivo /borrowedtoolreport.php do itSourcecode Construction Management System 1.0. O exploit é publicamente acessível, o que significa que os atacantes podem usá-lo facilmente para comprometer sistemas vulneráveis. A natureza remota da vulnerabilidade significa que um atacante pode explorá-la de qualquer lugar com acesso à rede. A falta de uma correção oficial aumenta o risco de exploração, pois os atacantes podem aproveitar a vulnerabilidade antes que um patch seja implementado. Os usuários são aconselhados a tomar medidas imediatas para mitigar o risco.
Organizations utilizing the itsourcecode Construction Management System, particularly those with publicly accessible instances or those lacking robust input validation practices, are at significant risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromise of one user's account could potentially lead to the compromise of the entire system.
• php / web:
grep -r "Home = " /var/www/itsourcecode/borrowed_tool_report.php• generic web:
curl -I http://your-server/borrowed_tool_report.php?Home='OR'1'-- -v | grep SQLdisclosure
Status do Exploit
EPSS
0.03% (percentil 9%)
CISA SSVC
Vetor CVSS
Atualmente, nenhuma correção oficial foi fornecida pelo desenvolvedor do itSourcecode. A mitigação imediata mais eficaz é desabilitar ou restringir o acesso ao arquivo /borrowedtoolreport.php até que uma atualização de segurança seja lançada. Implementar validação e sanitização robustas de todas as entradas do usuário, especialmente o argumento 'Home', é crucial para prevenir futuras injeções SQL. Recomendamos fortemente monitorar ativamente os sistemas afetados em busca de sinais de exploração e aplicar medidas de segurança adicionais, como firewalls e sistemas de detecção de intrusões. Manter o software e os sistemas operacionais atualizados também ajuda a reduzir a superfície de ataque.
Actualice el sistema de gestión de la construcción itsourcecode a una versión corregida. Verifique la documentación del proveedor para obtener instrucciones específicas de actualización. Como medida de seguridad adicional, implemente una validación de entrada robusta para prevenir futuras inyecciones SQL.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
A injeção SQL é uma vulnerabilidade de segurança que permite que atacantes injetem código SQL malicioso em um aplicativo, permitindo potencialmente que eles acessem dados confidenciais ou até mesmo assumam o controle do sistema.
Se você estiver usando o itSourcecode Construction Management System versão 1.0, seu sistema provavelmente é vulnerável. Realize uma verificação de vulnerabilidade para confirmar.
Isole imediatamente o sistema afetado da rede e notifique o fornecedor de software. Realize uma auditoria de segurança completa para identificar e corrigir quaisquer danos.
Existem várias ferramentas de segurança que podem ajudar a proteger seu sistema contra injeção SQL, como firewalls e sistemas de detecção de intrusões.
Atualmente, não há uma data de lançamento estimada para uma correção oficial. Monitore o site do fornecedor para obter atualizações.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.