PT-2026-35441 · Projeqtor · Projeqtor

Noé Susset + 1 · Publicado 2026-04-27 · Atualizado 2026-04-28 · CVE-2026-41462

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas ProjeQtor versões 7.0 a 12.4.3

Descrição Existe uma injeção de SQL não autenticada na funcionalidade de login. A variável login é concatenada diretamente em uma consulta SQL sem parametrização ou sanitização. Atacantes podem injetar expressões SQL arbitrárias através do campo de nome de usuário no endpoint de autenticação para criar contas privilegiadas, ler dados sensíveis e executar comandos do sistema operacional se o usuário do banco de dados tiver permissões elevadas. A injeção de SQL é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados.

Recomendações Atualize para a versão 12.4.4 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint de autenticação para minimizar o risco de exploração.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-41462

Produtos afetados

Projeqtor

Referências · 10

• 🔥 https://damiri.fr/en/cves/CVE-2026-41462 · Exploit
• 🔥 https://gryfman.fr/cves/CVE-2026-41462 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-41462 · Nota de Segurança
• https://vulncheck.com/advisories/projeqtor-unauthenticated-sql-injection-via-login · Nota
• https://twitter.com/fofabot/status/2049038215953408481 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2048824757018145215 · Publicação no Twitter
• https://projeqtor.com · Nota
• https://twitter.com/OrizonCyber/status/2048854741128544536 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2048852152127250805 · Publicação no Twitter
• https://t.me/CVEtracker/51956 · Publicação no Telegram