CVE-2026-107083: Inyección SQL en SLiMS Bulian 9.8.0

Qué es la vulnerabilidad

La CVE-2026-107083 es una vulnerabilidad de inyección SQL (SQL Injection) localizada en el sistema de gestión bibliotecaria SENAYAN Library Management System (SLiMS), específicamente en la versión Bulian 9.8.0. Esta vulnerabilidad se encuentra en el archivo admin/modules/reporting/customs/dl_detail.php, un componente del módulo de informes personalizados.

La inyección SQL es un tipo de vulnerabilidad de seguridad que permite a un atacante interferir con las consultas que una aplicación realiza a su base de datos. En este caso concreto, el parámetro fileID no se sanitiza ni se valida adecuadamente antes de ser utilizado en una consulta SQL. Esto permite que un atacante pueda manipular la consulta original para ejecutar comandos SQL arbitrarios, como recuperar datos confidenciales, modificar registros o incluso eliminar tablas completas.

El vector de ataque es remoto (AV:N), lo que significa que el atacante no necesita acceso físico al sistema. Además, la complejidad del ataque es baja (AC:L), no se requieren privilegios previos (PR:N) ni interacción del usuario (UI:N). El impacto se extiende a la confidencialidad, integridad y disponibilidad del sistema, todas ellas con un nivel alto (C:H/I:H/A:H).

Es importante destacar que, aunque la vulnerabilidad se encuentra en un archivo dentro de la ruta admin/, el vector CVSS indica que no se requieren privilegios para su explotación. Esto sugiere que el archivo podría ser accesible sin autenticación previa o que existe una vía para alcanzarlo sin credenciales válidas, lo que incrementa significativamente el riesgo asociado.

La vulnerabilidad fue reportada inicialmente a través del repositorio oficial del proyecto en GitHub, donde se ha documentado el problema en el issue #393. Adicionalmente, se ha publicado un repositorio específico con detalles técnicos adicionales sobre la vulnerabilidad, lo que indica que existe un interés activo en su análisis y posible explotación.

Dado que la puntuación CVSS es de 9.8 y la clasificación de severidad es CRÍTICA, esta vulnerabilidad debe tratarse con la máxima prioridad. Los sistemas que ejecuten SLiMS Bulian 9.8.0 deben considerarse en riesgo inmediato y se deben aplicar las medidas de mitigación correspondientes sin demora.

Productos y versiones vulnerables

Según los datos publicados por CVE.org, la vulnerabilidad afecta a SENAYAN Library Management System (SLiMS) Bulian (slims9_bulian) versión 9.8.0. La información disponible en el contexto no especifica un rango de versiones afectadas más allá de la mencionada, ni indica si existen versiones anteriores o posteriores vulnerables.

El fabricante y el producto canónico aparecen como «n/a» en las fuentes consultadas (CVE.org y NVD), aunque la descripción identifica claramente el software afectado. No se ha publicado información sobre versiones anteriores o posteriores, ni sobre parches específicos disponibles en el momento de la publicación.

Impacto y riesgo

La vulnerabilidad, clasificada como CRÍTICA con una puntuación CVSS de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), permite un ataque de inyección SQL a través del parámetro fileID en el archivo admin/modules/reporting/customs/dl_detail.php.

El vector de ataque presenta las siguientes características:

• Acceso remoto (AV:N): el atacante no requiere acceso físico ni local al sistema.
• Complejidad baja (AC:L): no se requieren condiciones especiales para explotar la vulnerabilidad.
• Sin privilegios (PR:N): no es necesario autenticarse ni disponer de credenciales.
• Sin interacción del usuario (UI:N): la víctima no necesita realizar ninguna acción.

El impacto potencial es alto en los tres ejes de seguridad:

• Confidencialidad: un atacante podría leer información sensible almacenada en la base de datos, incluyendo credenciales, datos de usuarios o registros bibliográficos.
• Integridad: podría modificar o eliminar datos, comprometiendo la fiabilidad del sistema.
• Disponibilidad: la explotación podría provocar la denegación de servicio o la corrupción de la base de datos.

Dado que el sistema es una plataforma de gestión bibliotecaria, el riesgo se extiende a la exposición de datos personales de usuarios y al compromiso de la infraestructura donde se aloja. La puntuación de prioridad asignada por RyzerBot es de 220, lo que refleja una alta urgencia de atención.

Estado de explotación conocida

Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa de esta vulnerabilidad en entornos reales. No se mencionan ataques en curso, exploits públicos funcionales ni inclusiones en catálogos de explotación conocida (como CISA KEV).

Sin embargo, la existencia de una referencia a un repositorio de GitHub (https://github.com/Primandito/CVE-2026-107083) sugiere que podría haber material técnico relacionado, aunque el contexto no confirma si se trata de un exploit funcional, una prueba de concepto o simplemente documentación. Ante esta falta de confirmación, no se puede afirmar que exista explotación activa.

Se recomienda tratar esta vulnerabilidad como explotable debido a la baja complejidad del ataque y a la ausencia de requisitos de autenticación, incluso sin confirmación de explotación pública.

Indicadores de compromiso (IOC)

El campo enrichment.ioc aparece vacío en el contexto proporcionado. Las fuentes consultadas (NVD, CVE.org y referencias adicionales) no han publicado indicadores de compromiso estructurados, como direcciones IP, dominios, hashes de archivos o rutas específicas asociadas a esta vulnerabilidad.

No se deben inventar ni inferir IOC a partir de otros datos. En consecuencia, no se dispone de indicadores de compromiso para esta CVE en el momento de la publicación.

Para la detección de posibles intentos de explotación, se recomienda monitorizar los registros de acceso al archivo dl_detail.php y las peticiones que incluyan el parámetro fileID con patrones sospechosos (por ejemplo, comillas simples, operadores SQL o codificación anómala).