VDB-388083 · CVE-2026-72610 · EUVD-2026-56131

Koha Community bis 24.11.17/25.05.12/25.11.6/26.05.1 Patron Lang Field AdditionalContents->search_for_display lang SQL Injection

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.0	$0-$5k	1.23

Zusammenfassunginfo

In Koha Community Koha bis 24.11.17/25.05.12/25.11.6/26.05.1 wurde eine kritische Schwachstelle gefunden. Hierbei betrifft es die Funktion Koha::AdditionalContents->search_for_display der Komponente Patron Lang Field. Durch Manipulation des Arguments lang mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2026-72610 vorgenommen. Der Angriff lässt sich über das Netzwerk starten. Es gibt keinen verfügbaren Exploit.

Detailsinfo

Es wurde eine kritische Schwachstelle in Koha Community Koha bis 24.11.17/25.05.12/25.11.6/26.05.1 gefunden. Dabei betrifft es die Funktion Koha::AdditionalContents->search_for_display der Komponente Patron Lang Field. Durch die Manipulation des Arguments lang mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-89 vorgenommen. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

A stored SQL injection vulnerability in Koha through 24.11.17, 25.05.12, 25.11.06, and 26.05.01 allows authenticated staff with the borrowers => edit_borrowers permission to cause a time-based denial of service by storing a SQL payload in a patron lang field. The value is concatenated raw into a subquery in Koha::AdditionalContents->search_for_display when an issue slip is printed for the affected patron. The 25-character column length limits exploitation to timing attacks; data extraction is not practical. The stored payload executes on each subsequent issue-slip print, scaling linearly with the SLEEP value and the number of slip-news rows.

Das Advisory findet sich auf bugs.koha-community.org. Die Identifikation der Schwachstelle wird seit dem 10.08.2026 mit CVE-2026-72610 vorgenommen. Sie ist leicht auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Es sind zwar technische Details, jedoch kein verfügbarer Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1505 bezeichnet.

Ein Aktualisieren auf die Version 24.11.18, 25.05.13, 25.11.07 oder 26.05.02 vermag dieses Problem zu lösen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von EUVD (EUVD-2026-56131) dokumentiert. Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

Produktinfo

Hersteller

Koha Community

Name

Koha

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Koha 24.11.18/25.05.13/25.11.07/26.05.02

Timelineinfo

10.08.2026 CVE zugewiesen
11.08.2026 +1 Tage Advisory veröffentlicht
11.08.2026 +0 Tage VulDB Eintrag erstellt
11.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung