CVE-2026-72608 in Koha
Résumé
par VulDB • 11/08/2026
Une vulnérabilité d'injection SQL stockée dans Koha, affectant les versions jusqu'à 24.11.17, 25.05.12, 25.11.06 et 26.05.01, permet à un membre du personnel authentifié disposant de la permission tools => label_creator d'exécuter des requêtes SQL arbitraires via le champ image_name dans une mise en page de carte d'abonné. La valeur du champ image_name est stockée telle quelle (verbatim) dans le XML de la mise en page, puis concaténée brute dans une requête SQL lors de l'appel à patroncards/create-pdf.pl lorsque des cartes d'abonnés sont imprimées par lot. Un attaquant peut ainsi lire l'intégralité de la base de données Koha, y compris les informations personnelles identifiables (PII) des abonnés et les hachages bcrypt des mots de passe du personnel, via une injection aveugle basée sur les erreurs ou le temps.
If you want to get best quality of vulnerability data, you may have to visit VulDB.