CVE-2026-72608 in Koha
Sumário
de VulDB • 11/08/2026
Uma vulnerabilidade de stored SQL injection no Koha nas versões até 24.11.17, 25.05.12, 25.11.06 e 26.05.01 permite que funcionários autenticados com a permissão tools => label_creator executem SQL arbitrário por meio do campo image_name em um layout de cartão de usuário (patron card). O valor de image_name é armazenado literalmente no XML do layout e, posteriormente, concatenado diretamente em uma consulta SQL no script patroncards/create-pdf.pl quando um lote de cartões de usuário é impresso. Um atacante pode ler todo o banco de dados Koha, incluindo PII dos usuários (patrons) e hashes de senhas bcrypt da equipe, por meio de injeção baseada em erros ou cega baseada em tempo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.