¿Qué es esta vulnerabilidad?
Se ha identificado una vulnerabilidad de inyección SQL (CWE-89) en Visitor Management System 1.0 de projectworlds. El fallo se encuentra en la función mysqli_query del archivo /img/user%20page.php dentro del componente Login Endpoint, donde la manipulación del argumento Username permite ejecutar consultas SQL maliciosas.
Productos y versiones afectadas
La vulnerabilidad afecta específicamente a Visitor Management System 1.0 de projectworlds.
Impacto y explotación
El ataque puede realizarse de forma remota (T1190 – Exploit Public-Facing Application) y ya existe un exploit público disponible. Aunque Shodan reporta 0 hosts expuestos actualmente, la severidad es ALTA según INCIBE-CERT (España) con un puntaje CVSS de 7.3.
| CVE | CVE-2026-129181 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.3 / 10 |
| CWE | CWE-74, CWE-89 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.