PT-2026-49097 · Koha Community+1 · Koha
CVSS v2.0
7.5
عالية
| المتجه | AV:N/AC:L/Au:S/C:C/I:N/A:P |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Koha Community Koha من 22.11.0 إلى 22.11.37
إصدارات Koha Community Koha من 23.x
إصدارات Koha Community Koha من 24.0 إلى 24.11.15
إصدارات Koha Community Koha من 25.05.0 إلى 25.05.10
إصدارات Koha Community Koha من 25.11.0 إلى 25.11.04
إصدارات Koha Community Koha من 26.05.0 إلى 26.05.00
إصدارات Koha Community Koha من 26.11.0 إلى 26.10.99
الوصف
يمكن لمستخدم موظف معتمد لديه علامة وحدة «التقارير» قراءة بيانات عشوائية من قاعدة بيانات التطبيق. يحدث هذا عندما تتطابق المعلمة
Criteria مع /branchcode/ في نقطة النهاية ’reports/catalogue out.pl‘. تنشأ المشكلة من الدالة calculate()، التي تربط معلمة الطلب Filter غير المعدلة مباشرةً بجملة LIKE في عبارة SQL وتنفذها عبر DBI دون استخدام معلمات مقيدة. وهذا يسمح بإدخال SQL القائم على الأخطاء، مما يتيح الوصول الكامل للقراءة إلى الجداول الحساسة مثل borrowers (التي تحتوي على تجزئات كلمات المرور، وأسرار المصادقة الثنائية، والمعلومات الشخصية المحددة للهوية)، وborrower password recovery، وapi keys، وsessions.التوصيات
تحديث إصدار Koha Community Koha 22.11.37 إلى 22.11.38.
قم بتحديث إصدارات Koha Community Koha 23.x إلى إصدار تم تطبيق الإصلاح عليه.
قم بتحديث إصدارات Koha Community Koha 24.x إلى الإصدار 24.11.16.
قم بتحديث إصدارات Koha Community Koha 25.05.x إلى الإصدار 25.05.11.
قم بتحديث إصدارات Koha Community Koha 25.11.x إلى الإصدار 25.11.05.
تحديث إصدارات Koha Community Koha 26.05.x إلى الإصدار 26.05.01.
تحديث Koha
استغلال
إصلاح
SQL injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Koha