CVE-2026-71237

Nome do Software Vulnerável e Versões Afetadas Miantang/IoT-PHP (versões afetadas não especificadas)

Description O arquivo index.php implementa um endpoint POST '/userlogin' que é suscetível a SQL injection. A aplicação lê a senha da variável pwd sem sanitização e a concatena em uma consulta SQL bruta. Embora o nome de usuário seja processado via htmlspecialchars(), esta função não codifica aspas simples por padrão, falhando em prevenir a injeção. Um invasor não autenticado pode usar um payload na variável pwd para ignorar a autenticação ou empregar injeção baseada em UNION para extrair dados arbitrários do banco de dados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro pwd no endpoint '/userlogin' até que o problema seja resolvido.