FICHE CVE

CVE-2026-19780

Publiée le 2026-09-15 · Dernière modification le 2026-09-15

🇫🇷 EN BREF

Les systèmes de gestion de bibliothèque Koha sont affectés par une faille dans le service web qui écoute sur le port 8081. Un utilisateur authentifié peut envoyer une chaîne de caractères spécialement conçue pour exécuter des commandes arbitraires sur le serveur avec les privilèges du compte de service. Cette attaque peut être réalisée à distance via le réseau et ne nécessite aucune interaction de l'utilisateur, bien qu'un compte valide soit requis pour réussir.

CVSS 3.08.8 ÉLEVÉE

Type de faiblesse

CWE-95

Publiée2026-09-15

Dernière modification2026-09-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

zdi-disclosures@trendmicro.com

Description officielle du NVD (en anglais)

Koha Eval Code Injection Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of Koha. Authentication is required to exploit this vulnerability. The specific flaw exists within the web service, which listens on TCP port 8081 by default. The issue results from the lack of proper validation of a user-supplied string before passing it to the eval function. An attacker can leverage this vulnerability to execute code in the context of the service account. Was ZDI-CAN-29165.