CVE-2026-30655 — Injection SQL dans esiclivre (réinitialisation de mot de passe)

Résumé

Une vulnérabilité d'injection SQL existe dans le point de terminaison de réinitialisation de mot de passe d'esiclivre. Un attaquant non authentifié peut injecter du SQL via le paramètre POST cpfcnpj, ce qui peut entraîner un accès non autorisé à des informations sensibles.

Projet concerné

• Dépôt : https://github.com/esiclivre/esiclivre
• Versions concernées : v0.2.2 et antérieures
• Commit concerné : jusqu'au 0a72b4c9ab89244ec3bd3d7fa0b765850cc9afd7 inclus

Détails techniques

• Point de terminaison : POST /reset/index.php
• Paramètre : cpfcnpj
• Cause racine : l'entrée utilisateur est concaténée dans une requête SQL dans Solicitante::resetaSenha() sans paramétrage.

Impact

• Accès non autorisé potentiel à des informations sensibles de la base de données (divulgation d'informations).

Atténuation / Correctif

Aucun correctif en amont n'est disponible au moment de la publication. Remédiation recommandée :

• Utiliser des requêtes paramétrées (instructions préparées) pour l'accès à la base de données.
• Valider et assainir les entrées utilisateur.
• Envisager de restreindre temporairement l'accès au point de terminaison de réinitialisation de mot de passe jusqu'à l'application d'un correctif.

Chronologie

• 2025-04-12 : Signalé aux éditeurs/mainteneurs
• 2026-02-09 : Demande de CVE soumise
• 2026-03-23 : CVE-2026-30655 attribuée

Crédits

Découverte par Bryan Romero (https://github.com/brynax).