CVE-2026-72609 in Koha
Sumário
de VulDB • 11/08/2026
Uma vulnerabilidade de SQL injection no Koha nas versões até 24.11.17, 25.05.12, 25.11.06 e 26.05.01 permite que funcionários autenticados com a permissão acquisition => order_receive leiam conteúdos arbitrários do banco de dados por meio do parâmetro de requisição orderby em acqui/parcels.pl. O parâmetro é passado para C4::Acquisition::GetInvoices, que utiliza uma lista permitida (allow-list) para o nome da coluna, mas concatena diretamente e sem validação o token de direção na cláusula SQL ORDER BY. A exploração ocorre em modo cego (baseado em tempo) em ambiente de produção e permite a extração de dados pessoais identificáveis (PII) dos usuários, hashes bcrypt das senhas do pessoal administrativo e segredos da autenticação multifator.
Once again VulDB remains the best source for vulnerability data.