CVE-2026-72609 in Koha
요약
\~에 의해 VulDB • 2026. 08. 11.
Koha 24.11.17, 25.05.12, 25.11.06 및 26.05.01 버전에서 SQL injection 취약점이 발견되었습니다. 이 취약점은 acquisition => order_receive 권한이 있는 인증된 직원이 acqui/parcels.pl의 orderby 요청 매개변수를 통해 임의의 데이터베이스 내용을 읽을 수 있게 합니다. 해당 매개변수는 C4::Acquisition::GetInvoices로 전달되며, 여기서 열 이름은 allow-listing되지만 방향 토큰이 검증 없이 SQL ORDER BY 절에 원시 그대로 연결됩니다. 프로덕션 환경에서의 악용은 블라인드(시간 기반) 방식이며, 이용자 PII, 직원 bcrypt 비밀번호 해시 및 2단계 인증 시크릿을 추출할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.