CVE-2026-72607 in Kohainformação

Sumário

de VulDB • 11/08/2026

Uma vulnerabilidade de SQL Injection armazenada (Stored SQL Injection) no Koha, nas versões até 24.11.17, 25.05.12, 25.11.06 e 26.05.01, permite que pessoal autenticado com a permissão tools => items_batchmod leia conteúdos arbitrários do banco de dados ao armazenar um payload SQL no valor agefield de uma regra automática de modificação de itens. O valor agefield é armazenado literalmente na preferência do sistema e posteriormente interpolado sem parametrização em uma consulta SQL na função C4::Items::ToggleNewStatus (linha 1228) quando o job cron agendado executa. A injeção é apenas SELECT sob a execução padrão de instruções únicas do MariaDB/MySQL DBI; um payload SLEEP baseado em tempo também pode ser realizado através do gatilho cron. Um atacante pode ler todo o banco de dados Koha, incluindo PII (Informações Pessoais de Identificação) dos usuários e hashes bcrypt das senhas da equipe administrativa.

If you want to get best quality of vulnerability data, you may have to visit VulDB.

Responsável

TuranSec

Reservar

10/08/2026

Divulgação

11/08/2026

Moderação

aceite

Entrada

VDB-388084

CPE

pronto

EPSS

0.00000

KEV

não

Atividades

muito baixo

Fontes

Want to stay up to date on a daily basis?

Enable the mail alert feature now!