CVE-2026-105106
Təsvir
Koha proqram təminatı Task Scheduler silinmə yolunda ƏMƏLİYYAT SİSTEMİ əmrinin inyeksiyasına qarşı həssasdır. tools/scheduler.pl handleri op=cud-delete üçün jobid sorğu parametrini qəbul edir və onu yoxlamadan C4::Scheduler::remove_at_job funksiyasına ötürür. Schedule::At::remove təqdim edilən iş ID-sini dırnağa alınmadan və ya xüsusi simvollar törütülmədən atrm əmr sətrinə yerləşdirir və bu əmri shell-i çağıran tək arqumentli system() çağırışı vasitəsilə icra edir. Beləliklə, tools => schedule_tasks icazəsinə malik autentifikasiya olunmuş personal istifadəçisi jobid parametrində shell meta-simvolları təqdim etməklə Koha veb/tətbiq istifadəçisi kimi ixtiyari əməliyyat sistemi əmrlərini icra edə bilər. Problem Koha 24.11.20, 25.05.15, 25.11.09, 26.05.04 versiyalarında və 26.11 inkişaf filialında aradan qaldırılmışdır.
Necə düzəltmək olar
- Koha Community Koha24.11.00, 24.11.20, 25.05.15, 25.11.09, 26.05.04 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Koha Community Koha | v < 24.11.00, 24.11.00 ≤ v < 24.11.20, 25.05.00 ≤ v < 25.05.15, 25.11.00 ≤ v < 25.11.09, 26.05.00 ≤ v < 26.05.04 | 24.11.00, 24.11.20, 25.05.15, 25.11.09, 26.05.04 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.