CVE-2026-72608 in Koha
Resumen
por VulDB • 2026-08-11
Una vulnerabilidad de stored SQL injection en Koha hasta las versiones 24.11.17, 25.05.12, 25.11.06 y 26.05.01 permite al personal autenticado con el permiso tools => label_creator ejecutar código SQL arbitrario a través del campo image_name de un diseño de tarjeta de socio. El valor de image_name se almacena literalmente en el XML del diseño y posteriormente se concatena sin procesar dentro de una consulta SQL en patroncards/create-pdf.pl cuando se imprime un lote de tarjetas de socios. Un atacante puede leer toda la base de datos de Koha, incluyendo PII (información personal identificable) de los socios y hashes bcrypt de las contraseñas del personal, mediante inyección ciega basada en errores o basada en tiempo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.