CVE-2026-30655 — esiclivre における SQL インジェクション (パスワードリセット)
概要
esiclivre のパスワードリセットエンドポイントに SQL インジェクションの脆弱性が存在します。認証されていない攻撃者が cpfcnpj POST パラメータを介して SQL を注入でき、機密情報への不正アクセスにつながる可能性があります。
影響を受けるプロジェクト
技術詳細
- エンドポイント:
POST /reset/index.php
- パラメータ:
cpfcnpj
- 根本原因:
Solicitante::resetaSenha() 内の SQL クエリに、ユーザー入力がパラメータ化されずに連結されます。
影響
- 機密データベース情報への不正アクセスの可能性 (情報漏えい)。
緩和策 / 修正
公開時点では、upstream による修正は提供されていません。
推奨される対策:
- データベースアクセスにはパラメータ化クエリ (プリペアドステートメント) を使用する。
- ユーザー入力を検証およびサニタイズする。
- パッチが適用されるまで、パスワードリセットエンドポイントへのアクセスを一時的に制限することを検討する。
タイムライン
- 2025-04-12: ベンダー/メンテナに報告
- 2026-02-09: CVE リクエストを提出
- 2026-03-23: CVE-2026-30655 割り当て
クレジット
発見者: Bryan Romero (https://github.com/brynax)
