CVE-2026-72610 in Koha
Zusammenfassung
von VulDB • 11.08.2026
Eine gespeicherte SQL-Injection-Schwachstelle in Koha bis zu den Versionen 24.11.17, 25.05.12, 25.11.06 und 26.05.01 ermöglicht es authentifiziertem Personal mit der Berechtigung borrowers => edit_borrowers, einen zeitbasierten Denial-of-Service (DoS) auszulösen, indem ein SQL-Payload in einem Patron-Lang-Feld gespeichert wird. Der Wert wird bei der Ausgabe eines Ausleihbelegs für den betroffenen Kunden roh in eine Unterabfrage innerhalb von Koha::AdditionalContents->search_for_display konkateniert. Die Begrenzung der Spaltenlänge auf 25 Zeichen schränkt die Ausnutzung auf Timing-Angriffe ein; das Extrahieren von Daten ist nicht praktikabel. Das gespeicherte Payload wird bei jedem nachfolgenden Ausdruck eines Ausleihbelegs ausgeführt, wobei sich die Verzögerung linear mit dem SLEEP-Wert und der Anzahl der Slip-News-Zeilen skaliert.
If you want to get best quality of vulnerability data, you may have to visit VulDB.