CVE-2026-72608 in Koha
Сводка
по VulDB • 11.08.2026
Уязвимость хранимой инъекции SQL в системе Koha (версии до 24.11.17, 25.05.12, 25.11.06 и 26.05.01) позволяет аутентифицированным сотрудникам с правом tools => label_creator выполнять произвольные SQL-запросы через поле image_name в макете карты читателя (patron card layout). Значение поля image_name сохраняется без изменений в XML-файле макета, а затем конкатенируется напрямую в SQL-запрос в скрипте patroncards/create-pdf.pl при печати пакета карт читателей. Атакующий может прочитать всю базу данных Koha, включая персональные данные пользователей (PII) и хеши паролей сотрудников (bcrypt), используя инъекции на основе ошибок или временные слепые инъекции.
If you want to get best quality of vulnerability data, you may have to visit VulDB.