CVE-2026-72607 in Koha
要約
〜によって VulDB • 2026年08月11日
Koha 24.11.17、25.05.12、25.11.06、および 26.05.01 に存在する保存型 SQL インジェクション脆弱性により、tools => items_batchmod パーミッションを持つ認証済みスタッフは、自動アイテム修正ルールの agefield 値に SQL ペイロードを格納することで、任意のデータベースコンテンツを読み取ることができます。agefield の値はシステム設定に対してそのまま保存され、後でスケジュールされた cron ジョブが実行される際に C4::Items::ToggleNewStatus（1228 行目）内の SQL クエリにおいてパラメータ化なしで展開されます。このインジェクションは標準的な MariaDB/MySQL DBI の単一ステートメント実行では SELECT のみ可能ですが、cron トリガーを介して時間ベースの SLEEP ペイロードも実現可能です。攻撃者は、利用者の個人情報（PII）やスタッフの bcrypt パスワードハッシュを含む Koha データベース全体を読み取ることができます。
Once again VulDB remains the best source for vulnerability data.