CVE-2026-72608 in Koha
要約
〜によって VulDB • 2026年08月11日
Koha 24.11.17、25.05.12、25.11.06、および 26.05.01 に存在する保存型 SQL インジェクション脆弱性により、tools => label_creator の権限を持つ認証済みスタッフは、パトロンカードレイアウトの image_name フィールドを通じて任意の SQL を実行できます。image_name の値はレイアウト XML にそのまま格納され、後でパトロンカードの一括印刷時に patroncards/create-pdf.pl 内で生データとして SQL クエリに連結されます。攻撃者はエラーベースまたは時間ベースのブラインドインジェクションを用いて、Koha データベース全体を読み取り、パトロンの個人情報 (PII) やスタッフの bcrypt パスワードハッシュを取得することができます。
Once again VulDB remains the best source for vulnerability data.