Qué es y cómo funciona
Una vulnerabilidad de inyección SQL (CWE-89) en la función mysqli_query del archivo actionpage.php de Projectworlds Visitor Management System 1.0. La manipulación del argumento purpose permite ejecutar consultas SQL maliciosas de forma remota.
Productos y versiones afectadas
Projectworlds Visitor Management System versión 1.0.
Impacto y explotación
CVSS 7.3 (Alto) - Clasificado como HIGH por INCIBE-CERT. El exploit ya está publicado y podría ser utilizado (T1190 – Exploit Public-Facing Application). Shodan no reporta hosts expuestos actualmente, pero el riesgo existe si el sistema está en internet.
Qué hacer
Actualizar el software a una versión parcheada si está disponible, o aplicar mitigaciones para inyección SQL (validación de entrada, consultas parametrizadas).
| CVE | CVE-2026-129180 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| CWE | CWE-74, CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.