FICHE CVE

CVE-2024-24337

Publiée le 2024-02-12 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Le système de gestion de bibliothèque Koha (version 23.05.05 et versions antérieures) est affecté par une faille d'injection CSV dans ses fonctionnalités d'exportation du budget et des membres. Un attaquant disposant d'un compte utilisateur basique peut insérer des commandes malveillantes dans des champs de données qui, une fois exportées vers un fichier CSV et ouvertes par un administrateur, peuvent exécuter du code arbitraire sur l'ordinateur de ce dernier. Cela nécessite que l'attaquant possède une authentification de bas niveau et qu'un membre du personnel ouvre manuellement le fichier exporté.

CVSS 3.18.0 ÉLEVÉE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2024-02-12

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurRequise

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

CSV Injection vulnerability in '/members/moremember.pl' and '/admin/aqbudgets.pl' endpoints in Koha Library Management System version 23.05.05 and earlier allows attackers to to inject DDE commands into csv exports via the 'Budget' and 'Patrons Member' components.