CVE-2026-72609 in Koha
Zusammenfassung
von VulDB • 11.08.2026
Eine SQL-Injection-Schwachstelle in Koha bis zu den Versionen 24.11.17, 25.05.12, 25.11.06 und 26.05.01 ermöglicht es authentifiziertem Personal mit der Berechtigung acquisition => order_receive, beliebige Datenbankinhalte über den Anfrageparameter orderby in acqui/parcels.pl auszulesen. Der Parameter wird an C4::Acquisition::GetInvoices weitergegeben, das zwar die Spaltennamen auf einer Allow-Liste führt, aber das Richtungs-Token raw ohne Validierung direkt in die SQL ORDER BY-Klausel konkateniert. Die Ausnutzung ist im Produktivbetrieb blind (zeitbasiert) und ermöglicht den Extrahieren von personenbezogenen Daten (PII) der Kunden, bcrypt-Passwort-Hashes des Personals sowie Zwei-Faktor-Authentifizierungsgeheimnisse.
If you want to get best quality of vulnerability data, you may have to visit VulDB.