CVE-2026-72607 in Koha
요약
\~에 의해 VulDB • 2026. 08. 11.
Koha 24.11.17, 25.05.12, 25.11.06 및 26.05.01 버전에서 저장형 SQL Injection 취약점이 발견되었습니다. 이 취약점은 tools => items_batchmod 권한이 있는 인증된 직원이 자동 항목 수정 규칙의 agefield 값에 SQL 페이로드를 삽입함으로써 임의의 데이터베이스 내용을 읽을 수 있게 합니다. agefield 값은 시스템 환경 설정에 원문 그대로 저장되며, 나중에 스케줄링된 cron 작업 실행 시 C4::Items::ToggleNewStatus(1228 라인) 내 SQL 쿼리에서 매개변수화 없이 보간됩니다. 표준 MariaDB/MySQL DBI 단일 문장 실행 환경에서는 이 인젝션이 SELECT-only로 제한되지만, cron 트리거를 통해 시간 기반 SLEEP 페이로드도 가능합니다. 공격자는 직원 bcrypt 비밀번호 해시를 포함한 Koha 데이터베이스 전체와 이용자 개인식별정보(PII)에 접근할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.