תיאור (מקור, אנגלית)
An authenticated SQL Injection vulnerability (CWE-89) exists in the Koha staff interface in the /cgi-bin/koha/suggestion/suggestion.pl endpoint due to improper validation of the displayby parameter used by the GetDistinctValues functionality. Successful exploitation may lead to full compromise of the backend database, including disclosure or modification of stored data.
מוצרים מושפעים
koha: koha
קישורים3
- bugs.koha-community.org/bugzilla3/show_bug.cgi?id=41593 Issue Tracking
- koha-community.gitlab.io/KohaAdvent/2025-12-09-security-all/ Not Applicable
- koha-community.org/koha-25-11-01-released/ Release Notes
מדדים
- CVSS 3.1
-
8.8
HIGH
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - CVSS 4.0
-
8.7
HIGH
מקור הציון: CNA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X - EPSS — סבירות ניצול
- 0% אחוזון 37 · נכון ל-12 בנובמבר 2026
- CWE
- CWE-89
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.