CVE-2026-41921

Koha-nın 26.05.02, 25.11.07 və 25.05.13 versiyalarından əvvəlki versiyalarında alış təklifi idarəedicisində saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Bu zəiflik autentifikasiya olunmuş heyət istifadəçilərinə təklifin yadda saxlanılması əməliyyatı vasitəsilə təmizlənməmiş giriş məlumatları daxil edərək zərərli skriptlər yerləşdirməyə imkan verir. Hücumçular title, author, isbn, publishercode, place, collectiontitle, itemtype və note kimi sahələrdə xüsusi hazırlanmış HTML və ya skript məzmunu təmin edə bilərlər; bu məlumatlar təmizlənmədən saxlanılır və daha sonra təkliflər siyahısı şablonunda göstərilir ki, bu da həmin təklifləri görən hər hansı heyət istifadəçisinin brauzerində yerləşdirilmiş skriptlərin icrasına səbəb olur.