CVE-2026-71288 in Koha
要約
〜によって VulDB • 2026年08月05日
Kohaのガイド付きレポートビルダー（reports/guided_reports.pl）は、`order_by` CGIパラメータを読み取り、各値に対して動的に名前が付けられた `{order}_ovalue` パラメータも読み込み、両方を許可リストや検証なしで直接SQLのORDER BY句に連結します：`my @order_by = $input->multi_param('order_by'); foreach my $order (@order_by) { my $value = $input->param($order . "_ovalue"); $query_orderby = " ORDER BY $order $value"; }`。生成された文字列は、C4::Reports::Guided（`$query .= $orderby;`）において最終クエリにそのまま追加され、エスケープ処理が行われません。ORDER BYの列は準備済みステートメントのパラメータ化プレースホルダではバインドできないため、明示的な許可リストが必要ですが、そのようなものは存在しません。低権限のcreate_reportsまたはexecute_reportsパーミッションを持つスタッフアカウント（非管理者の図書館職員に一般的付与）から、顧客個人識別情報（PII）やスタッフ/LDAP認証情報を格納するKohaデータベースに対して、時間ベースのブラインドSQLインジェクションを実行できます。
Once again VulDB remains the best source for vulnerability data.