Vulnerabilidades

Koha es vulnerable a inyección SQL en el informe de los artículos más prestados. El script reports/cat_issues_top.pl (subrutina calculate) concatena directamente los parámetros de solicitud controlados por el usuario Criteria, Filter y Limit en SQL dinámico. Criteria solo se normaliza en cuanto al prefijo y nunca se…

Koha es vulnerable a una inyección de comandos del sistema operativo en la ruta de eliminación del Programador de tareas. El manejador tools/scheduler.pl acepta el parámetro de solicitud jobid para op=cud-delete y lo pasa a C4::Scheduler::remove_at_job sin validarlo. Schedule::At::remove sustituye el ID de tarea…

Vulnerabilidad de ejecución remota de código por inyección de código en eval en Koha. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en las instalaciones afectadas de Koha. Se requiere autenticación para explotar esta vulnerabilidad. El fallo específico se encuentra en el servicio web, que…

Koha anterior a 26.05.02, 25.11.07 y 25.05.13 contiene una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada en el gestor de sugerencias de compra que permite a usuarios autenticados del personal inyectar scripts maliciosos enviando datos sin sanear a través de la operación de guardado de…

Una vulnerabilidad de inyección SQL almacenada en Koha hasta 24.11.17, 25.05.12, 25.11.06 y 26.05.01 permite al personal autenticado con el permiso borrowers => edit_borrowers provocar una denegación de servicio basada en tiempo almacenando una carga útil SQL en el campo lang de un usuario. El valor se concatena sin…

Una vulnerabilidad de inyección SQL en Koha hasta 24.11.17, 25.05.12, 25.11.06 y 26.05.01 permite al personal autenticado con el permiso acquisition => order_receive leer contenido arbitrario de la base de datos mediante el parámetro de solicitud orderby en acqui/parcels.pl. El parámetro se pasa a…

Una vulnerabilidad de inyección SQL almacenada en Koha hasta 24.11.17, 25.05.12, 25.11.06 y 26.05.01 permite al personal autenticado con el permiso tools => label_creator ejecutar SQL arbitrario mediante el campo image_name de un diseño de carné de usuario. El valor de image_name se almacena literalmente en el XML del…

Una vulnerabilidad de inyección SQL almacenada en Koha hasta 24.11.17, 25.05.12, 25.11.06 y 26.05.01 permite al personal autenticado con el permiso tools => items_batchmod leer contenido arbitrario de la base de datos almacenando una carga útil SQL en el valor agefield de una regla de modificación automática de…

El generador de informes guiados de Koha (reports/guided_reports.pl) lee el parámetro CGI y, para cada valor, un parámetro con nombre dinámico, y concatena ambos directamente en una cláusula SQL ORDER BY sin lista de permitidos ni validación. Como las columnas de ORDER BY no pueden vincularse mediante marcadores de…

reports/issues_stats.pl de Koha (el informe de estadísticas de circulación) construye su consulta de cálculo en sub calculate concatenando varios parámetros de petición controlados por el usuario directamente en la cadena SQL. Los parámetros PeriodTypeSel, PeriodDaySel y PeriodMonthSel se interpolan sin procesar en…

reports/bor_issues_top.pl de Koha construye SQL dinámico en sub calculate concatenando varios parámetros de petición controlados por el usuario directamente en la cadena de consulta. Un usuario autenticado del personal que tenga el permiso del módulo de informes puede inyectar SQL arbitrario y leer cualquier tabla…

reports/issues_avg_stats.pl de Koha construye SQL dinámico en sub calculate concatenando varios parámetros de petición controlados por el usuario directamente en la cadena de consulta. Los parámetros Line y Column no se validan contra ninguna lista blanca y acaban literalmente en posiciones de identificadores (SELECT…

reports/catalogue_stats.pl de Koha construye SQL dinámico en sub calculate interpolando los parámetros de petición Line y Column controlados por el usuario directamente en posiciones de identificadores de la consulta (SELECT DISTINCTROW, GROUP BY, ORDER BY) sin validación mediante lista blanca.

reports/acquisitions_stats.pl de Koha construye su consulta de estadísticas por celda en sub calculate interpolando los parámetros de petición Filter controlados por el usuario directamente en fragmentos WHERE que abarcan aqbasket.closedate, aqorders.datereceived, aqbooksellers.name, items.homebranch, items.ccode,…

Una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada en la página de administración de tipos de ítem de Koha Library Management System, en las versiones 0 a 25.11, permite a un atacante remoto autenticado con privilegios de administrador inyectar secuencias de comandos web arbitrarias a…

Una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada en la página de detalle de ejemplares del OPAC del sistema de gestión de bibliotecas Koha, versiones 0 hasta 25.11, permite a un atacante remoto autenticado con el permiso edit_items inyectar secuencias de comandos web arbitrarias…

Una vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) almacenada en la página de administración de tipos de restricción de usuarios de Koha Library Management System, en las versiones 0 a 25.11, permite a un atacante remoto autenticado con privilegios de administrador inyectar secuencias de comandos…

Inyección SQL en reports/catalogue_out.pl en Koha Community Koha hasta 22.11.37, 23.x, 24.x antes de 24.11.16, 25.05.x antes de 25.05.11, 25.11.x antes de 25.11.05, 26.05.x antes de 26.05.01, y 26.11.x antes de 26.11.00 permite a un usuario de personal autenticado con el indicador del módulo de Informes leer datos…

Un problema en Koha v.25.11 y anteriores permite a un atacante remoto ejecutar código arbitrario a través del módulo de configuración Z39.50.

Vulnerabilidad de Cross Site Scripting en Koha 25.11 y versiones anteriores permite a un atacante remoto ejecutar código arbitrario a través de la función de carga de archivos en las características de Facturación.

La funcionalidad Send Basket en Koha Library anterior a 23.05.10 es susceptible a inyección SQL basada en tiempo, porque no sanea el parámetro POST bib_list en /cgi-bin/koha/opac-sendbasket.pl, lo que permite a los usuarios de la biblioteca leer datos arbitrarios de la base de datos.

La biblioteca Koha anterior a la versión 23.05.10 no sanea los nombres de archivo controlables por el usuario antes de descomprimirlos, lo que conduce a la ejecución remota de código. La línea "qx/unzip $filename -d $dirname/;" en upload-cover-image.pl es vulnerable a la inyección de comandos mediante metacaracteres…

Existe una vulnerabilidad de inyección SQL autenticada (CWE-89) en la interfaz de personal de Koha, en el endpoint /cgi-bin/koha/suggestion/suggestion.pl, debido a una validación incorrecta del parámetro displayby utilizado por la funcionalidad GetDistinctValues. Un usuario de personal con bajos privilegios puede…

Vulnerabilidad de Cross Site Scripting en Koha 25.11 y versiones anteriores permite a un atacante remoto ejecutar código arbitrario a través de la función de Noticias.

Se ha detectado una vulnerabilidad de seguridad en Kohana KodiCMS hasta 13.82.135. Esto afecta a la función Save del archivo cms/modules/kodicms/classes/kodicms/model/file.PHP del componente Layout API Endpoint. La manipulación del argumento content conduce a la inyección de código. El ataque puede iniciarse de forma…