CVE-2026-72607 in Koha
Sumário
de VulDB • 11/08/2026
Uma vulnerabilidade de SQL Injection armazenada (Stored SQL Injection) no Koha, nas versões até 24.11.17, 25.05.12, 25.11.06 e 26.05.01, permite que pessoal autenticado com a permissão tools => items_batchmod leia conteúdos arbitrários do banco de dados ao armazenar um payload SQL no valor agefield de uma regra automática de modificação de itens. O valor agefield é armazenado literalmente na preferência do sistema e posteriormente interpolado sem parametrização em uma consulta SQL na função C4::Items::ToggleNewStatus (linha 1228) quando o job cron agendado executa. A injeção é apenas SELECT sob a execução padrão de instruções únicas do MariaDB/MySQL DBI; um payload SLEEP baseado em tempo também pode ser realizado através do gatilho cron. Um atacante pode ler todo o banco de dados Koha, incluindo PII (Informações Pessoais de Identificação) dos usuários e hashes bcrypt das senhas da equipe administrativa.
If you want to get best quality of vulnerability data, you may have to visit VulDB.