CVE-2026-72607 in Koha
Résumé
par VulDB • 11/08/2026
Une vulnérabilité d'injection SQL stockée (stored SQL injection) dans Koha, versions antérieures à 24.11.17, 25.05.12, 25.11.06 et 26.05.01, permet aux membres du personnel authentifiés disposant de la permission `tools => items_batchmod` de lire le contenu arbitraire de la base de données en stockant une charge utile SQL (SQL payload) dans la valeur `agefield` d'une règle de modification automatique des éléments. La valeur `agefield` est enregistrée telle quelle (`verbatim`) dans les préférences système, puis interpolée sans paramétrisation dans une requête SQL au sein de C4::Items::ToggleNewStatus (ligne 1228) lors de l'exécution du cron planifié. L'injection est limitée aux sélections SELECT dans le cadre standard d'une exécution mono-instruction DBI sous MariaDB/MySQL ; une charge utile SLEEP basée sur les temps d'attente est également réalisable via le déclencheur cron. Un attaquant peut lire l'intégralité de la base de données Koha, y compris les informations personnelles identifiables (PII) des usagers et les hachages bcrypt des mots de passe du personnel.
Once again VulDB remains the best source for vulnerability data.