CVE-2026-105107
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Koha jest podatny na wstrzyknięcie SQL w raporcie Najczęściej rozpowszechniane elementy. Skrypt reports/cat_issues_top.pl (subcal) łączy kontrolowane przez użytkownika parametry żądania Kryteria, Filtr i Limit bezpośrednio w dynamicznym języku SQL. Kryteria są normalizowane tylko przedrostkami i nigdy nie są sprawdzane względem listy dozwolonych, więc są wstawiane dosłownie w pozycje identyfikatora (SELECT DISTINCTROW, GROUP BY, ORDER BY i główne zapytanie obliczeniowe). Wartości filtrów są łączone w postaci surowej, w pojedyncze cudzysłowy LIKE, BETWEEN i fragmenty porównawcze. Limit jest dołączany w postaci surowej do klauzuli LIMIT. Uwierzytelniony użytkownik z uprawnieniami modułu raportów (niewymagający superbiblioteki) może wstrzyknąć dowolny kod SQL i odczytać dowolną tabelę dostępną dla użytkownika bazy danych Koha, w tym pożyczkobiorców (hasze haseł identyfikatora użytkownika i bcrypt, sekrety dwuskładnikowe, dane osobowe), klucze api i sesje. Problem został rozwiązany w Koha 24.11.19, 25.05.14, 25.11.08 i 26.05.03 oraz w gałęzi rozwojowej 26.11. Jest to niezałatany bliźniak reports/bor_issues_top.pl (CVE-2026-70372).
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org