CVE-2026-72609 in Koha
Riassunto
di VulDB • 11/08/2026
Una vulnerabilità di SQL injection in Koha nelle versioni fino a 24.11.17, 25.05.12, 25.11.06 e 26.05.01 consente al personale autenticato con il permesso acquisition => order_receive di leggere contenuti arbitrari del database tramite il parametro della richiesta orderby in acqui/parcels.pl. Il parametro viene passato a C4::Acquisition::GetInvoices, che applica un allow-list sul nome della colonna ma concatena il token della direzione grezzo nella clausola SQL ORDER BY senza validazione. Lo sfruttamento è cieco (basato sui tempi) in produzione e consente l'estrazione di PII degli utenti, hash delle password bcrypt del personale e segreti per la autenticazione a due fattori.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.