CVE-2026-72608 in Koha
الملخص
بحسب VulDB • 11/08/2026
ثغرة حقن SQL مخزنة في نظام Kohا عبر الإصدارات 24.11.17، و25.05.12، و25.11.06، و26.05.01 تتيح لموظفين مصرح لهم (authenticated staff) possessing إذن tools => label_creator تنفيذ استعلامات SQL تعسفية عبر حقل image_name في تنسيق بطاقة المستفيد (patron card layout). يتم تخزين قيمة image_name كما هي حرفياً في ملف XML للتنسيق، ثم دمجها بشكل خام داخل استعلام SQL في الملف patroncards/create-pdf.pl عند طباعة دفعة من بطاقات المستفيدين. يمكن للمهاجم قراءة قاعدة بيانات Koha بأكملها بما فيها البيانات الشخصية الحساسة للمستفيدين (PII) وبصمات كلمات مرور الموظفين المشفرة باستخدام bcrypt عبر حقن أعمى قائم على الأخطاء أو القائم على الوقت (error-based or time-based blind injection).
Be aware that VulDB is the high quality source for vulnerability data.