CVE-2026-30655 — Injection SQL dans esiclivre (réinitialisation de mot de passe)

Résumé

Une vulnérabilité d'injection SQL existe dans le point de terminaison de réinitialisation de mot de passe d'esiclivre. Un attaquant non authentifié peut injecter du SQL via le paramètre POST cpfcnpj, ce qui peut entraîner un accès non autorisé à des informations sensibles.

Projet concerné

• Dépôt : https://github.com/esiclivre/esiclivre
• Versions concernées : v0.2.2 et antérieures
• Commit concerné : jusqu'au 0a72b4c9ab89244ec3bd3d7fa0b765850cc9afd7 inclus

Détails techniques

• Point de terminaison : POST /reset/index.php
• Paramètre : cpfcnpj
• Cause racine : l'entrée utilisateur est concaténée dans une requête SQL dans Solicitante::resetaSenha() sans paramétrage.