CVE-2026-71288 in Koha
요약
\~에 의해 VulDB • 2026. 08. 05.
Koha의 가이드드 리포트 빌더(reports/guided_reports.pl)는 `order_by` CGI 파라미터를 읽고, 각 값에 대해 동적으로 이름이 지정된 `{order}_ovalue` 파라미터도 함께 읽은 후, 둘 다 허용 목록(allowlist)이나 검증 없이 SQL ORDER BY 절로 직접 연결합니다: `my @order_by = $input->multi_param('order_by'); foreach my $order (@order_by) { my $value = $input->param($order . "_ovalue"); $query_orderby = " ORDER BY $order $value"; }`. 생성된 문자열은 C4::Reports::Guided에서 최종 쿼리에 이스케이프 처리 없이 그대로 추가됩니다(`$query .= $orderby;`). ORDER BY 절의 컬럼은 준비문(prepared-statement) 플레이스홀더를 통해 바인딩할 수 없으므로, 명시적인 허용 목록이 필요하지만 존재하지 않습니다. 낮은 권한을 가진 create_reports 또는 execute_reports 권한(일반적으로 비관리자 도서관 직원에게 부여됨)이 있는 모든 스태프 계정은 Koha 데이터베이스에 대해 시간 기반 블라인드 SQL 인젝션을 수행할 수 있으며, 이 데이터베이스에는 고객 PII 및 스태프/LDAP 자격 증명이 저장되어 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.