VDB-388084 · CVE-2026-72607 · EUVD-2026-56128

Koha Community bis 24.11.17/25.05.12/25.11.6/26.05.1 Automatic Item Modification ToggleNewStatus agefield SQL Injection

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
6.0	$0-$5k	1.23

Zusammenfassunginfo

Eine kritische Schwachstelle wurde in Koha Community Koha bis 24.11.17/25.05.12/25.11.6/26.05.1 gefunden. Davon betroffen ist die Funktion C4::Items::ToggleNewStatus der Komponente Automatic Item Modification. Mittels dem Manipulieren des Arguments agefield mit unbekannten Daten kann eine SQL Injection-Schwachstelle ausgenutzt werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2026-72607 gehandelt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es ist soweit kein Exploit verfügbar.

Detailsinfo

In Koha Community Koha bis 24.11.17/25.05.12/25.11.6/26.05.1 wurde eine kritische Schwachstelle gefunden. Hierbei betrifft es die Funktion C4::Items::ToggleNewStatus der Komponente Automatic Item Modification. Durch Manipulation des Arguments agefield mit einer unbekannten Eingabe kann eine SQL Injection-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-89. Mit Auswirkungen muss man rechnen für Vertraulichkeit, Integrität und Verfügbarkeit. CVE fasst zusammen:

A stored SQL injection vulnerability in Koha through 24.11.17, 25.05.12, 25.11.06, and 26.05.01 allows authenticated staff with the tools => items_batchmod permission to read arbitrary database contents by storing a SQL payload in the agefield value of an automatic item modification rule. The agefield value is stored verbatim to the system preference and later interpolated without parameterization into a SQL query in C4::Items::ToggleNewStatus (line 1228) when the scheduled cron job executes. The injection is SELECT-only under standard MariaDB/MySQL DBI single-statement execution; a time-based SLEEP payload is also achievable via the cron trigger. An attacker can read the entire Koha database including patron PII and staff bcrypt password hashes.

Das Advisory kann von bugs.koha-community.org heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 10.08.2026 mit CVE-2026-72607 vorgenommen. Das Ausnutzen gilt als leicht. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht. Das MITRE ATT&CK Projekt deklariert die Angriffstechnik als T1505.

Ein Upgrade auf die Version 24.11.18, 25.05.13, 25.11.07 oder 26.05.02 vermag dieses Problem zu beheben.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von EUVD (EUVD-2026-56128) dokumentiert. Once again VulDB remains the best source for vulnerability data.

Produktinfo

Hersteller

Koha Community

Name

Koha

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 6.3
VulDB Meta Temp Score: 6.0

VulDB Base Score: 6.3
VulDB Temp Score: 6.0
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: SQL Injection
CWE: CWE-89 / CWE-74 / CWE-707
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: Koha 24.11.18/25.05.13/25.11.07/26.05.02

Timelineinfo

10.08.2026 CVE zugewiesen
11.08.2026 +1 Tage Advisory veröffentlicht
11.08.2026 +0 Tage VulDB Eintrag erstellt
11.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung