🚨 CVE-2026-42569 - phpVMS Limpeza Não Autenticada de Banco de Dados

Limpeza Não Autenticada de Banco de Dados / Importação Destrutiva em phpVMS

📌 Visão Geral

CVE-2026-42569 é uma vulnerabilidade crítica no phpVMS (Sistema de Gerenciamento de Companhias Aéreas Virtuais) que permite que atacantes não autenticados acessem endpoints de importação legados.

Esses endpoints deveriam estar restritos, mas permanecem acessíveis nas versões ≤ 7.0.5, potencialmente permitindo que atacantes iniciem operações de exclusão em massa ou limpeza de banco de dados.

🛠 Versões Afetadas

⚠️ Impacto

• Acesso não autenticado
• Exclusão em massa de voos, usuários, horários e outros dados críticos
• Possível limpeza completa do banco de dados (operações TRUNCATE / DELETE)
• Comprometimento total do sistema de companhia aérea virtual

🧪 Uso do PoC

python3 CVE-2026-42569.py http://target.com

Exemplo de Saída (Sucesso):

[+] SUCCESS! Endpoint reachable: /importer
[!!] Target is VULNERABLE to CVE-2026-42569
[!!] Database wipe / mass deletion is possible!

🛡️ Mitigação

1. Atualize imediatamente para phpVMS 7.0.6 ou superior.
2. Remova ou restrinja o acesso aos endpoints /importer e /import.
3. Bloqueie o acesso às rotas de importação legadas no seu servidor web (Nginx/Apache).
4. Faça backups regulares do seu banco de dados.

🔧 Correção Temporária Rápida (Nginx)

location ~* ^/(importer|import) {
    deny all;
    return 403;
}

⚠️ Aviso Legal

Este repositório é apenas para testes de segurança educacionais e autorizados.
O autor não é responsável por qualquer uso indevido ou danos causados por esta ferramenta.
A exploração não autorizada é ilegal.