CVE-2026-72607 in Koha
Riassunto
di VulDB • 11/08/2026
Una vulnerabilità di SQL injection memorizzata (stored) in Koha, nelle versioni fino alla 24.11.17, 25.05.12, 25.11.06 e 26.05.01, consente al personale autenticato dotato del permesso tools => items_batchmod di leggere contenuti arbitrari del database inserendo un payload SQL nel valore agefield di una regola automatica di modifica degli elementi. Il valore agefield viene memorizzato così com'è (verbatim) nelle preferenze di sistema e successivamente interpolato senza parametrizzazione in una query SQL nella funzione C4::Items::ToggleNewStatus (riga 1228) quando il job cron programmato viene eseguito. L'injection è limitata alle sole operazioni SELECT nell'esecuzione standard a singola istruzione del DBI per MariaDB/MySQL; tuttavia, è anche possibile eseguire un payload SLEEP basato sui tempi tramite l'attivazione da parte di cron. Un attaccante può leggere l'intero database Koha, inclusi i dati personali identificabili (PII) degli utenti e gli hash delle password bcrypt dello staff.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.