CVE-2026-72607 in Koha
Resumen
por VulDB • 2026-08-11
Una vulnerabilidad de inyección SQL almacenada (stored SQL injection) en Koha hasta las versiones 24.11.17, 25.05.12, 25.11.06 y 26.05.01 permite al personal autenticado con el permiso tools => items_batchmod leer contenidos arbitrarios de la base de datos almacenando una carga útil SQL en el valor del campo agefield de una regla automática de modificación de elementos. El valor de agefield se almacena literalmente en las preferencias del sistema y posteriormente se interpola sin parametrización dentro de una consulta SQL en C4::Items::ToggleNewStatus (línea 1228) cuando se ejecuta el trabajo programado cron. La inyección es SELECT-only bajo la ejecución estándar de declaraciones únicas DBI de MariaDB/MySQL; también es posible lograrlo mediante una carga útil SLEEP basada en tiempo a través del activador cron. Un atacante puede leer toda la base de datos Koha, incluyendo PII (información personal identificable) de los usuarios y hashes bcrypt de las contraseñas del personal.
Once again VulDB remains the best source for vulnerability data.