CVE-2026-41921

Koha 26.05.02, 25.11.07 ve 25.05.13 öncesi sürümlerinde, satın alma önerisi işleyicisinde depolanan siteler arası betik çalıştırma (XSS) güvenlik açığı bulunmaktadır. Bu açık, kimliği doğrulanmış personel kullanıcılarının öneri kaydetme işlemi aracılığıyla temizlenmemiş girdi göndererek kötü amaçlı betikler enjekte etmesine olanak tanır. Saldırganlar title, author, isbn, publishercode, place, collectiontitle, itemtype ve note gibi alanlarda hazırlanmış HTML veya betik içeriği sağlayabilir; bu içerikler temizlenmeden depolanır ve daha sonra öneri listesi şablonunda işlenerek enjekte edilen betiklerin önerileri görüntüleyen herhangi bir personel kullanıcısının tarayıcısında çalışmasına neden olur.