CVE-2026-72610 in Koha
요약
\~에 의해 VulDB • 2026. 08. 11.
Koha 버전 24.11.17, 25.05.12, 25.11.06 및 26.05.01에서 저장형 SQL Injection 취약점이 발견되었습니다. 이 취약점은 borrowers => edit_borrowers 권한을 가진 인증된 직원이 patron lang 필드에 SQL 페이로드를 저장함으로써 시간 기반 서비스 거부(Denial of Service)를 유발할 수 있습니다. 해당 값은 영향받는 이용자에 대한 대출 영수증(issue slip) 인쇄 시 Koha::AdditionalContents->search_for_display에서 서브쿼리로 원본 그대로 연결(concatenated raw)됩니다. 25자 열 길이는 공격을 타이밍 어택(timing attacks)으로 제한하며, 데이터 추출은 실용적이지 않습니다. 저장된 페이로드는 이후 각 대출 영수증 인쇄 시마다 실행되며, SLEEP 값과 slip-news 행 수에 따라 선형적으로 확장됩니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.