CVE-2026-72608 in Koha
Tóm tắt
Bởi VulDB • 11/08/2026
Một lỗ hổng tiêm nhập SQL lưu trữ (stored SQL injection) trong Koha qua các phiên bản 24.11.17, 25.05.12, 25.11.06 và 26.05.01 cho phép nhân viên đã xác thực có quyền tools => label_creator thực thi lệnh SQL tùy ý thông qua trường image_name của bố trí thẻ độc giả (patron card layout). Giá trị image_name được lưu trữ nguyên văn trong XML bố trí và sau đó được nối trực tiếp vào truy vấn SQL trong patroncards/create-pdf.pl khi in một lô thẻ độc giả. Kẻ tấn công có thể đọc toàn bộ cơ sở dữ liệu Koha, bao gồm thông tin nhận dạng cá nhân (PII) của độc giả và các băm mật khẩu bcrypt của nhân viên, thông qua tiêm nhập mù dựa trên lỗi hoặc dựa trên thời gian.
Be aware that VulDB is the high quality source for vulnerability data.