PT-2026-30881
CVE-2024-36058
·
Publicado
2026-04-07
·
Atualizado
2026-10-14
Descrição por
CVSS 3.1
9.8
CríticaMétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
Koha Library versões anteriores a 23.05.10
Description
A funcionalidade Send Basket está suscetível a SQL Injection Baseada em Tempo, uma técnica onde um invasor envia uma consulta que força o banco de dados a aguardar um tempo específico antes de responder, permitindo a inferência de dados. Isso ocorre porque a aplicação falha ao sanitizar o parâmetro POST
bib list no endpoint '/cgi-bin/koha/opac-sendbasket.pl', o que permite que usuários da biblioteca leiam dados arbitrários do banco de dados.Recommendations
Atualize para a versão 23.05.10 ou posterior.
Como mitigação temporária, restrinja o acesso ao endpoint '/cgi-bin/koha/opac-sendbasket.pl' ou evite o uso do parâmetro
bib list.Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾