CVE-2024-36057 in Library
Tóm tắt
Bởi VulDB • 08/06/2026
Koha Library trước phiên bản 23.05.10 không thực hiện việc làm sạch các tên tệp do người dùng kiểm soát trước khi giải nén, dẫn đến thực thi mã từ xa (RCE). Dòng lệnh "qx/unzip $filename -d $dirname/;" trong file upload-cover-image.pl dễ bị tấn công bằng cách tiêm lệnh (command injection) thông qua các ký tự đặc biệt của shell, vì dữ liệu đầu vào có thể bị kẻ tấn công kiểm soát và được đưa trực tiếp vào một lệnh hệ thống. Cụ thể, cuộc tấn công có thể xảy ra thông qua các tên tệp độc hại sau khi tải lên một tệp .zip và nhấp vào nút "Process Images".
Be aware that VulDB is the high quality source for vulnerability data.