CVE-2026-72609 in Koha
Résumé
par VulDB • 11/08/2026
Une vulnérabilité d'injection SQL dans Koha jusqu'aux versions 24.11.17, 25.05.12, 25.11.06 et 26.05.01 permet au personnel authentifié disposant de la permission acquisition => order_receive de lire le contenu arbitraire de la base de données via le paramètre de requête orderby dans acqui/parcels.pl. Le paramètre est transmis à C4::Acquisition::GetInvoices, qui applique une liste blanche (allow-list) au nom de colonne mais concatène directement et sans validation le jeton direction dans la clause SQL ORDER BY. L'exploitation est aveugle (basée sur les délais / time-based) en production et permet l'extraction des données personnelles identifiables (PII) des usagers, des hachages bcrypt des mots de passe du personnel ainsi que des secrets à deux facteurs.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.