CVE-2026-30655 — Inyección SQL en esiclivre (restablecimiento de contraseña)

Resumen

Existe una vulnerabilidad de inyección SQL en el endpoint de restablecimiento de contraseña de esiclivre. Un atacante no autenticado puede inyectar SQL a través del parámetro POST cpfcnpj, lo que potencialmente resulta en acceso no autorizado a información sensible.

Proyecto afectado

• Repositorio: https://github.com/esiclivre/esiclivre
• Versiones afectadas: v0.2.2 y anteriores
• Commit afectado: hasta e incluyendo 0a72b4c9ab89244ec3bd3d7fa0b765850cc9afd7

Detalles técnicos

• Endpoint: POST /reset/index.php
• Parámetro: cpfcnpj
• Causa raíz: la entrada del usuario se concatena en una consulta SQL en Solicitante::resetaSenha() sin parametrización.

Impacto

• Posible acceso no autorizado a información sensible de la base de datos (divulgación de información).

Mitigación / Corrección

No hay una corrección oficial (upstream) disponible en el momento de la publicación. Remediación recomendada:

• Utilizar consultas parametrizadas (sentencias preparadas) para el acceso a la base de datos.
• Validar y sanear la entrada del usuario.
• Considerar restringir temporalmente el acceso al endpoint de restablecimiento de contraseña hasta que se aplique el parche.

Cronología

• 2025-04-12: Reportado al proveedor/mantenedores
• 2026-02-09: Solicitud de CVE presentada
• 2026-03-23: CVE-2026-30655 asignado

Créditos

Descubierto por Bryan Romero (https://github.com/brynax).