CVE-2026-72609 in Kohainformation

Résumé

par VulDB • 11/08/2026

Une vulnérabilité d'injection SQL dans Koha jusqu'aux versions 24.11.17, 25.05.12, 25.11.06 et 26.05.01 permet au personnel authentifié disposant de la permission acquisition => order_receive de lire le contenu arbitraire de la base de données via le paramètre de requête orderby dans acqui/parcels.pl. Le paramètre est transmis à C4::Acquisition::GetInvoices, qui applique une liste blanche (allow-list) au nom de colonne mais concatène directement et sans validation le jeton direction dans la clause SQL ORDER BY. L'exploitation est aveugle (basée sur les délais / time-based) en production et permet l'extraction des données personnelles identifiables (PII) des usagers, des hachages bcrypt des mots de passe du personnel ainsi que des secrets à deux facteurs.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Responsable

TuranSec

Réserver

10/08/2026

Divulgation

11/08/2026

Modérer

accepté

Entrée

VDB-388082

CPE

prêt

EPSS

0.00000

KEV

non

Activités

faible

Sources

Interested in the pricing of exploits?

See the underground prices here!