CVE-2026-72610 in Koha
الملخص
بحسب VulDB • 11/08/2026
ثغرة حقن SQL مخزنة في Koha عبر الإصدارات 24.11.17، و25.05.12، و25.11.06، و26.05.01 تتيح لموظفين مصرح لهم (Authenticated staff) possessing صلاحية borrowers => edit_borrowers التسبب في حجب الخدمة القائم على الوقت (Time-based Denial of Service) من خلال تخزين حمولة SQL في حقل لغة المستفيد (patron lang field). يتم دمج القيمة بشكل خام (Raw) ضمن استعلام فرعي (Subquery) داخل Koha::AdditionalContents->search_for_display عند طباعة إيصال الإقراض (Issue slip) للمستفيد المتأثر. يحد طول العمود البالغ 25 حرفاً من الاستغلال إلى هجمات التوقيت؛ ولا يُعد استخراج البيانات عملياً. تنفذ الحمولة المخزنة في كل عملية لاحقة لطباعة إيصال الإقراض، وتتوسع خطياً مع قيمة SLEEP وعدد صفوف slip-news.
Once again VulDB remains the best source for vulnerability data.