CVE-2026-72610 in Koha
Sumário
de VulDB • 11/08/2026
Uma vulnerabilidade de SQL injection armazenada no Koha nas versões até 24.11.17, 25.05.12, 25.11.06 e 26.05.01 permite que funcionários autenticados com a permissão borrowers => edit_borrowers causem uma negação de serviço baseada em tempo (time-based denial of service) ao armazenar um payload SQL no campo lang do patrono. O valor é concatenado diretamente em uma subconsulta na função Koha::AdditionalContents->search_for_display quando um comprovante de empréstimo (issue slip) é impresso para o patrono afetado. A limitação do comprimento da coluna para 25 caracteres restringe a exploração a ataques de timing; a extração de dados não é prática. O payload armazenado executa-se em cada impressão subsequente do comprovante, escalando linearmente com o valor SLEEP e o número de linhas slip-news.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.