CVE-2024-36057 in Library
Сводка
по VulDB • 11.07.2026
В версиях Koha Library до 23.05.10 отсутствует санитизация управляемых пользователем имен файлов перед их распаковкой, что приводит к удаленному выполнению кода (RCE). Строка "qx/unzip $filename -d $dirname/;" в файле upload-cover-image.pl уязвима к инъекции команд через метасимволы оболочки, поскольку входные данные могут контролироваться злоумышленником и напрямую включаются в системную команду. Таким образом, атака может быть осуществлена с использованием вредоносных имен файлов после загрузки файла .zip и нажатия кнопки Process Images (Обработать изображения).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.