Múltiplas falhas de injeção de SQL são descobertas em plataforma de código aberto para gestão de exames

A base de dados de vulnerabilidades de cibersegurança VulDB publicou três alertas de segurança em 17 de outubro de 2026, documentando um conjunto de falhas de injeção de linguagem de consulta estruturada (SQL) descobertas na plataforma de código aberto Online-Examination-System, desenvolvida pelo programador itsmeravitejak. As divulgações identificam vulnerabilidades que afetam o software em todas as versões até o commit de código e6208e630b14657999bbfe4c9912302d2a1e2449. Catalogadas formalmente como CVE-2026-111871, CVE-2026-111872 e CVE-2026-111873, as fragilidades abrangem três arquivos operacionais responsáveis pela administração de disciplinas, relatórios de banco de dados e gestão assíncrona de exames. As conclusões indicam que entradas não validadas processadas pela aplicação podem permitir a manipulação direta de instruções do banco de dados no backend, gerando riscos de divulgação não autorizada de dados e adulteração administrativa.

## Fatos principais

- A plataforma de documentação de cibersegurança VulDB publicou alertas sobre três falhas de segurança relacionadas em 17 de outubro de 2026. - As vulnerabilidades estão catalogadas sob os registros oficiais CVE-2026-111871, CVE-2026-111872 e CVE-2026-111873. - O software afetado é a plataforma de código aberto Online-Examination-System, desenvolvida por itsmeravitejak, até o commit git e6208e630b14657999bbfe4c9912302d2a1e2449. - As falhas têm como alvo três arquivos distintos da aplicação: subjectsdb.php, database.php e exammanger.php. - Entre as rotinas operacionais vulneráveis estão a função getreport em database.php e o endpoint assíncrono topicslist dentro de exammanger.php.

## O que aconteceu

Em uma série de registros coordenados de vulnerabilidades cadastrados em 17 de outubro de 2026, analistas de segurança da VulDB documentaram três falhas técnicas incorporadas à aplicação Online-Examination-System. O código afetado pertence ao repositório público mantido por itsmeravitejak, avaliado até a hash de commit e6208e630b14657999bbfe4c9912302d2a1e2449.

O primeiro alerta, documentado sob o código CVE-2026-111871, identifica uma fragilidade de injeção de linguagem de consulta estruturada localizada no script subjectsdb.php. De acordo com a documentação técnica publicada pela VulDB, o arquivo gerencia operações vinculadas ao armazenamento e à modificação de registros de disciplinas. O tratamento inadequado de parâmetros sem higienização dentro deste componente permite que instruções de banco de dados sejam ampliadas por entradas externas não autorizadas.

Instantes depois, uma divulgação relacionada registrada como CVE-2026-111872 revelou uma fragilidade similar dentro de database.php. A VulDB informou que a vulnerabilidade impacta especificamente a função getreport, um mecanismo utilizado pela plataforma para consultar, reunir e renderizar métricas de relatórios. Quando os campos de entrada encaminhados para essa função deixam de passar por uma validação estrita de tipos de dados ou por escape de caracteres, um invasor pode anexar comandos de consulta estruturada diretamente ao mecanismo de banco de dados no backend.

O terceiro aviso, catalogado como CVE-2026-111873, concentra-se em um endpoint assíncrono de JavaScript e XML situado em exammanger.php. Conforme detalhado pela VulDB, a vulnerabilidade afeta a rotina topicslist. Como endpoints assíncronos frequentemente trocam dados em segundo plano com interfaces de clientes, parâmetros de consulta filtrados inadequadamente e transmitidos por meio desse endpoint permitem que agentes externos executem instruções arbitrárias de banco de dados.

Todos os três relatórios de vulnerabilidade atribuem a falha de programação subjacente ao isolamento insuficiente entre instruções executáveis e dados fornecidos pelo usuário em scripts legados da web em PHP. Em cada caso, entradas controladas pelo usuário podem ultrapassar seus limites operacionais pretendidos e forçar o interpretador do banco de dados a executar fragmentos não autorizados de consulta.

## Por que isso importa

A identificação de múltiplas vulnerabilidades de injeção de banco de dados dentro de uma plataforma de avaliação educacional apresenta sérios riscos de segurança para instituições acadêmicas e centros de aplicação de testes que utilizam softwares de exame auto-hospedados. Plataformas de teste gerenciam fluxos de trabalho acadêmicos confidenciais, incluindo bancos de questões, folhas de respostas ativas, notas de estudantes e credenciais administrativas. Quando uma plataforma de avaliação contém falhas de acesso a banco de dados não autenticadas ou pouco restritas, a integridade de todo o processo de exame é colocada em dúvida.

Vulnerabilidades de injeção em banco de dados, classificadas em estruturas da indústria sob a entrada CWE-89 do Common Weakness Enumeration, permitem que entidades externas contornem controles padrões de autenticação, extraiam registros armazenados e alterem o conteúdo de tabelas. Em um ambiente de provas, um indivíduo que explore as falhas CVE-2026-111871, CVE-2026-111872 ou CVE-2026-111873 poderia, teoricamente, recuperar questões não divulgadas antes das sessões programadas de teste. Da mesma forma, a capacidade de gravar no banco de dados subjacente viabiliza a modificação ilícita de resultados de exames, históricos escolares de alunos ou níveis de permissão de usuários.

Além da desonestidade acadêmica, o comprometimento de bancos de dados de estudantes e instrutores acarreta exposição regulatória e legal. Em jurisdições regidas por legislações rigorosas de privacidade, como a União Europeia sob o Regulamento Geral sobre a Proteção de Dados ou os Estados Unidos sob a Family Educational Rights and Privacy Act, organizações educacionais enfrentam severas penalidades administrativas caso informações de identificação pessoal de estudantes fiquem vulneráveis à exfiltração devido a defeitos de software evitáveis.

## Contexto

A injeção de linguagem de consulta estruturada permanece entre as fragilidades de segurança mais persistentes no desenvolvimento de software para web há mais de duas décadas. Documentado pela primeira vez na literatura técnica no final dos anos 1990, o padrão de vulnerabilidade tem ocupado consistentemente uma posição de destaque na lista das 10 principais ameaças a aplicações web do Open Worldwide Application Security Project. Apesar da ampla documentação e de soluções consolidadas de engenharia, aplicações web desenvolvidas com código procedural simples em PHP continuam frequentemente sofrendo com essa classe de defeito.

A mitigação padrão do setor para injeção de linguagem de consulta estruturada depende de instruções parametrizadas, comumente implementadas por meio de PHP Data Objects ou de consultas preparadas na extensão MySQL improved. Quando instruções preparadas são implementadas, o sistema de gerenciamento de banco de dados trata os parâmetros recebidos estritamente como literais de dados passivos, e não como sintaxe executável, neutralizando qualquer tentativa de modificação de consulta. Aplicações que, em vez disso, dependem de concatenação direta de strings para construir comandos de banco de dados permanecem inerentemente vulneráveis sempre que funções de higienização de entrada são omitidas, incompletas ou contornadas.

O rastreamento internacional de defeitos de segurança é coordenado por meio do sistema Common Vulnerabilities and Exposures, supervisionado pela MITRE Corporation com patrocínio da Cybersecurity and Infrastructure Security Agency dos Estados Unidos. Autoridades autorizadas de numeração CVE (CVE Numbering Authorities) atribuem identificadores alfanuméricos exclusivos a falhas verificadas, permitindo que mantenedores de software, operadores de redes corporativas e equipes de resposta a incidentes rastreiem, indexem e corrijam falhas técnicas.

Plataformas independentes e serviços de indexação de segurança, incluindo a VulDB, catalogam regularmente vulnerabilidades descobertas por pesquisadores independentes e ferramentas automatizadas de varredura de código. Enquanto grandes plataformas comerciais mantêm programas dedicados de divulgação de vulnerabilidades, utilitários menores de código aberto e projetos independentes distribuídos por meio de repositórios públicos como o GitHub frequentemente carecem de procedimentos estruturados de revisão de segurança, deixando as implementações dependentes de auditorias de segurança de terceiros.

## Repercussão

Nenhuma declaração pública formal, alertas defensivos ou boletins de segurança foram emitidos pelo mantenedor do projeto, itsmeravitejak, em resposta às divulgações publicadas pela VulDB. Os alertas iniciais não incluíram comentários do proprietário do repositório, nem fizeram referência a um pull request público existente que resolvesse os scripts vulneráveis.

Como projetos de código aberto em plataformas colaborativas de hospedagem costumam operar sem assessorias formais de imprensa ou equipes dedicadas de resposta, a comunicação sobre atualizações de segurança normalmente ocorre nos rastreadores de problemas de repositórios públicos ou nos históricos de commits. Espera-se que administradores de rede e equipes técnicas acadêmicas que utilizam o software revisem suas instalações em servidores, reforcem controles de acesso em redes locais e monitorem a atividade do repositório em busca de correções futuras.

Analistas de segurança que acompanham vulnerabilidades em softwares educacionais frequentemente recomendam que os operadores de sistemas implementem camadas externas de proteção, como firewalls de aplicações web, para detectar e bloquear sintaxes malformadas de consultas estruturadas antes que elas alcancem endpoints vulneráveis em servidores de aplicações sem correção.

## O que ainda não se sabe

Diversos aspectos práticos relativos à descoberta e à exposição dessas falhas em ambientes reais continuam não confirmados. As divulgações iniciais da VulDB não especificam se as vulnerabilidades foram descobertas por meio de análise automatizada de código-fonte, testes manuais de invasão ou exploração ativa detectada em ambientes operacionais. Consequentemente, não se sabe se agentes mal-intencionados exploraram esses endpoints específicos contra servidores de exames em produção.

Além disso, os relatórios não quantificam quantas instituições, escolas ou administradores individuais utilizam ativamente a base de código do Online-Examination-System de itsmeravitejak. Embora os repositórios públicos git indiquem o histórico de revisões do código até o commit e6208e630b14657999bbfe4c9912302d2a1e2449, o número de instalações ativas conectadas à internet permanece não documentado.

Também não está claro se uma correção oficial de segurança será incorporada ao repositório principal ou se os operadores de sistemas precisarão refatorar manualmente os arquivos subjectsdb.php, database.php e exammanger.php para implementar consultas parametrizadas de forma independente.

## O que acompanhar

O principal desdobramento a ser acompanhado é se o mantenedor publicará commits atualizados de software que substituam a montagem dinâmica de consultas por interações parametrizadas com o banco de dados nos arquivos afetados. Os usuários do repositório devem monitorar as atividades posteriores ao commit com a hash e6208e630b14657999bbfe4c9912302d2a1e2449 em busca de correções de segurança.

No cenário mais amplo de gerenciamento de vulnerabilidades, observadores devem aguardar a publicação de métricas padronizadas do Common Vulnerability Scoring System para CVE-2026-111871, CVE-2026-111872 e CVE-2026-111873. Essas pontuações de gravidade, atribuídas por avaliadores de vulnerabilidades e espelhadas por instituições como o National Vulnerability Database dos Estados Unidos, definem as classificações de base para facilidade de exploração e impacto empregadas por verificadores automatizados de conformidade.

Equipes de segurança que gerenciam ambientes de exames auto-hospedados também devem prestar atenção ao possível surgimento de scripts públicos de exploração de prova de conceito voltados ao endpoint AJAX topicslist em exammanger.php ou à função getreport em database.php, o que aumentaria significativamente a urgência de correções manuais no código.

Este relato baseia-se em relatórios técnicos de vulnerabilidade publicados pela VulDB em suas entradas de catálogo de segurança em 17 de outubro de 2026.