CVE-2026-107084 Falsificación de petición (CSRF) en SLiMS 9 Bulian en loan_history_maintenance.php

Qué es CVE-2026-107084

SLiMS (Senayan Library Management Systems) 9 Bulian 9.8.0 permite CSRF contra admin/modules/circulation/loan_history_maintenance.php, ya que el parámetro GET action=run ejecuta operaciones privilegiadas y destructivas sin token CSRF ni confirmación POST, lo que provoca la pérdida de registros del historial de préstamos.

Qué hacer

1. Verificá si usás el producto afectado.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• Primandito/CVE-2026-107084 ↗CSRF in SLiMS 9.8.0 loan history maintenance allowing unauthorized data loss (TRUNCATE). CVE-2026-107084.PUBLICADO 17 OCT · 10:43

Calculadora CVSS

Esta vulnerabilidad todavía no tiene vector CVSS publicado.

Abrir la calculadora completa →

Descripción original

Slims (Senayan Library Management Systems) 9 Bulian 9.8.0 allows cross-site request forgery (CSRF) against admin/modules/circulation/loan_history_maintenance.php because the action=run GET parameter performs privileged, destructive operations with no CSRF token or POST confirmation, leading to data loss of loan history records.

Referencias

• github.com/slims/slims9_bulian/issues/394
• github.com/Primandito/CVE-2026-107084

Historial de la alerta

1. 17 OCT · 10:43EXPLOIT PÚBLICO Se publicó el repositorio Primandito/CVE-2026-107084.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.