Vulnerabilities ›

CVE-2026-1482

High

CWE-89 — Weakness Type

                    Published: Jan 27, 2026                      ·  Modified: Feb 28, 2026                      ·  Source: NVD                

CVSS v3

7.5

🔗 NVD Official

📄 Description (English)

An out-of-band SQL injection vulnerability (OOB SQLi) has been detected in the Performance Evaluation (EDD) application developed by Gabinete Técnico de Programación. Exploiting this vulnerability in the parameter 'Id_evaluacion' in '/evaluacion_objetivos_evalua_definido.aspx', could allow an attacker to extract sensitive information from the database through external channels, without the affected application returning the data directly, compromising the confidentiality of the stored information.

🤖 AI Executive Summary

A high-severity out-of-band SQL injection vulnerability (CVE-2026-1482, CVSS 7.5) exists in the Performance Evaluation (EDD) application affecting the 'Id_evaluacion' parameter. This vulnerability allows attackers to extract sensitive database information through external channels without direct application feedback, posing significant confidentiality risks to organizations using this system. A patch is available and should be deployed immediately to prevent unauthorized data exfiltration.

📄 Description (Arabic)

🤖 AI Intelligence Analysis Analyzed: May 3, 2026 12:21

🇸🇦 Saudi Arabia Impact Assessment

This vulnerability poses significant risk to Saudi government entities and public sector organizations that utilize performance evaluation systems for HR management and employee assessment. Government agencies under NCA oversight, particularly those managing sensitive personnel data, are at elevated risk. Additionally, large Saudi enterprises and financial institutions using similar EDD systems for performance management could face data breaches affecting employee records, compensation data, and organizational intelligence. The out-of-band nature of the attack makes detection challenging, increasing the window of exposure for data exfiltration.

🏢 Affected Saudi Sectors

Government and Public Sector Banking and Financial Services Healthcare Energy and Utilities Telecommunications Large Enterprises with HR Systems

🎯 MITRE ATT&CK Techniques

T1190 - Exploit Public-Facing Application T1557 - Man-in-the-Middle T1041 - Exfiltration Over C2 Channel T1020 - Automated Exfiltration T1005 - Data from Local System T1213 - Data from Information Repositories

⚖️ Saudi Risk Score (AI)

7.8

/ 10.0

🔧 Remediation Steps (English)

IMMEDIATE ACTIONS:

1. Identify all instances of the Quatuor Performance Evaluation (EDD) application in your environment

2. Isolate affected systems from external network access if patch deployment will be delayed

3. Enable enhanced database activity monitoring and logging for the '/evaluacion_objetivos_evalua_definido.aspx' endpoint

4. Review database access logs for suspicious queries or unusual data extraction patterns

PATCHING GUIDANCE:

1. Apply the available patch immediately to all affected EDD application instances

2. Test the patch in a non-production environment first to ensure compatibility

3. Schedule maintenance windows for production deployment with minimal business disruption

4. Verify patch application by checking application version and reviewing security advisories

COMPENSATING CONTROLS (if patch deployment is delayed):

1. Implement Web Application Firewall (WAF) rules to block SQL injection patterns in the 'Id_evaluacion' parameter

2. Apply input validation and parameterized query enforcement at the application layer

3. Restrict database user privileges to minimum necessary permissions

4. Implement network segmentation to limit database access to authorized systems only

5. Enable SQL query logging and anomaly detection for the affected application database

DETECTION RULES:

1. Monitor for unusual DNS queries or HTTP requests from the application server to external domains

2. Alert on database queries containing UNION, CAST, CONVERT, or other SQL injection indicators

3. Track failed authentication attempts and unusual database connection patterns

4. Monitor for time-based SQL injection indicators (delayed responses) on the vulnerable endpoint

5. Implement SIEM rules to detect exfiltration patterns through DNS tunneling or HTTP callbacks

🔧 خطوات المعالجة (العربية)

الإجراءات الفورية:

1. تحديد جميع نسخ تطبيق تقييم الأداء من Quatuor في بيئتك

2. عزل الأنظمة المتأثرة عن الوصول الخارجي إذا تأخر نشر التصحيح

3. تفعيل المراقبة المحسّنة لنشاط قاعدة البيانات والتسجيل لنقطة النهاية '/evaluacion_objetivos_evalua_definido.aspx'

4. مراجعة سجلات الوصول إلى قاعدة البيانات للبحث عن الاستعلامات المريبة أو أنماط استخراج البيانات غير العادية

إرشادات التصحيح:

1. تطبيق التصحيح المتاح فوراً على جميع نسخ تطبيق EDD المتأثرة

2. اختبار التصحيح في بيئة غير الإنتاج أولاً للتأكد من التوافقية

3. جدولة نوافذ الصيانة لنشر الإنتاج مع الحد الأدنى من انقطاع الأعمال

4. التحقق من تطبيق التصحيح بفحص إصدار التطبيق ومراجعة المستشارات الأمنية

الضوابط البديلة (إذا تأخر نشر التصحيح):

1. تنفيذ قواعد جدار حماية تطبيقات الويب (WAF) لحجب أنماط حقن SQL في معامل 'Id_evaluacion'

2. تطبيق التحقق من صحة الإدخال وفرض الاستعلامات المعاملة على مستوى التطبيق

3. تقييد امتيازات مستخدم قاعدة البيانات بأقل الأذونات الضرورية

4. تنفيذ تقسيم الشبكة لتحديد وصول قاعدة البيانات للأنظمة المصرح بها فقط

5. تفعيل تسجيل استعلامات SQL والكشف عن الشذوذ لقاعدة بيانات التطبيق المتأثرة

قواعد الكشف:

1. مراقبة استعلامات DNS غير العادية أو طلبات HTTP من خادم التطبيق إلى النطاقات الخارجية

2. التنبيه على استعلامات قاعدة البيانات التي تحتوي على UNION أو CAST أو CONVERT أو مؤشرات حقن SQL الأخرى

3. تتبع محاولات المصادقة الفاشلة وأنماط اتصال قاعدة البيانات غير العادية

4. مراقبة مؤشرات حقن SQL المستندة إلى الوقت (الاستجابات المتأخرة) على نقطة النهاية المعرضة للخطر

5. تنفيذ قواعد SIEM للكشف عن أنماط التسرب من خلال نفق DNS أو رد الاتصال HTTP

📋 Regulatory Compliance Mapping

🟢 NCA ECC 2024

ECC 2024 A.14.2.1 - Information security requirements in supplier relationships ECC 2024 A.12.6.1 - Management of technical vulnerabilities ECC 2024 A.12.2.1 - Establishment of information and communication technology security policies ECC 2024 A.14.2.5 - Addressing information security in supplier agreements

🔵 SAMA CSF

SAMA CSF ID.RA-1 - Asset Management and Vulnerability Management SAMA CSF PR.DS-6 - Data Protection and Privacy SAMA CSF DE.CM-1 - Detection and Analysis SAMA CSF RS.RP-1 - Response Planning

🟡 ISO 27001:2022

ISO 27001:2022 A.12.6.1 - Management of technical vulnerabilities ISO 27001:2022 A.14.2.1 - Supplier security requirements ISO 27001:2022 A.8.1.1 - Inventory of information and other assets ISO 27001:2022 A.5.23 - Information security for supplier relationships

🟣 PCI DSS v4.0.1

PCI DSS 6.2 - Security patches and updates PCI DSS 6.5.1 - Injection flaws prevention PCI DSS 11.2 - Vulnerability scanning

🔗 References & Sources 1

🔗

https://www.incibe.es/en/incibe-cert/notices/aviso/out-band-sql-injection-quatuor-perfo...

cve-coordination@incibe.es

Third Party Advisory

📦 Affected Products / CPE 1 entries

quatuor:evaluacion_de_desempeno:-

📊 CVSS Score

7.5

/ 10.0 — High

📊 CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Attack VectorN — None / Network

Attack ComplexityL — Low / Local

Privileges RequiredN — None / Network

User InteractionN — None / Network

ScopeU — Unchanged

ConfidentialityH — High

IntegrityN — None / Network

AvailabilityN — None / Network

📋 Quick Facts

Severity High

CVSS Score7.5

CWECWE-89

EPSS0.03%

Exploit No

Patch ✓ Yes

Published 2026-01-27

Source Feed nvd

🇸🇦 Saudi Risk Score

7.8

/ 10.0 — Saudi Risk

Priority: CRITICAL

🏷️ Tags

CWE-89

⚡ Actions

🔗 NVD Official Page ⚡ Exploit-DB Search 🐙 GitHub PoC Search 🎯 MITRE ATT&CK 📊 CVE Details

💬 Comments

Loading comments

CVE-2026-1482

💬 Comments

Introduce Yourself

Sign In Required