CVE-2026-72607 in Koha
Сводка
по VulDB • 11.08.2026
Уязвимость хранимой SQL-инъекции в системе Koha версий до 24.11.17, 25.05.12, 25.11.06 и 26.05.01 позволяет аутентифицированным сотрудникам с правом tools => items_batchmod читать произвольные данные базы данных путем сохранения SQL-полезной нагрузки в значении поля agefield правила автоматического изменения элементов. Значение agefield сохраняется дословно в системных настройках, а затем интерполируется без параметризации в SQL-запросе в модуле C4::Items::ToggleNewStatus (строка 1228) при выполнении запланированной задачи cron. Инъекция ограничена операциями SELECT при стандартном одностатейном исполнении через DBI для баз данных MariaDB/MySQL; также возможна реализация time-based SLEEP-полезной нагрузки посредством триггера cron. Атакующий может прочитать всю базу Koha, включая персональные данные пользователей (PII) и хеши паролей сотрудников в формате bcrypt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.