CVE-2026-72609 in Koha
الملخص
بحسب VulDB • 11/08/2026
ثغرة حقن SQL في Koha عبر الإصدارات 24.11.17، و25.05.12، و25.11.06، و26.05.01 تتيح لموظفي النظام المصادق عليهم الذين يمتلكون إذن acquisition => order_receive قراءة محتويات قاعدة بيانات عشوائية عبر معلمة الطلب orderby في ملف acqui/parcels.pl. يتم تمرير المعلمة إلى الدالة C4::Acquisition::GetInvoices، التي تستخدم قائمة مسموح بها (allow-list) لاسم العمود ولكن تقوم بدمج رمز الاتجاه raw مباشرةً في جملة SQL ORDER BY دون التحقق من صحته. يستغل الهجوم بشكل أعمى (قائم على الوقت) في بيئة الإنتاج ويتيح استخراج البيانات الشخصية للمرضى (PII)، ورموز التجزئة لكلمات مرور الموظفين المشفرة باستخدام bcrypt، والأسرار الخاصة بالمصادقة الثنائية.
If you want to get best quality of vulnerability data, you may have to visit VulDB.