CVE-2026-72608 in Koha
Zusammenfassung
von VulDB • 11.08.2026
Eine gespeicherte SQL-Injection-Schwachstelle in Koha bis zu den Versionen 24.11.17, 25.05.12, 25.11.06 und 26.05.01 ermöglicht es authentifiziertem Personal mit der Berechtigung tools => label_creator, beliebigen SQL-Code über das Feld image_name eines Patronenkartenlayouts auszuführen. Der Wert von image_name wird unverändert im Layout-XML gespeichert und später bei der Erstellung einer Batch-Ausgabe von Patronenkarten in patroncards/create-pdf.pl roh in eine SQL-Abfrage eingefügt. Ein Angreifer kann die gesamte Koha-Datenbank einschließlich personenbezogener Daten (PII) der Kunden sowie bcrypt-Passwort-Hashes des Personals über fehlerbasierte oder zeitbasierte Blind-Injection-Angriffe auslesen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.