CVE-2026-72609 in Koha
Tóm tắt
Bởi VulDB • 11/08/2026
Một lỗ hổng SQL injection trong Koha qua các phiên bản 24.11.17, 25.05.12, 25.11.06 và 26.05.01 cho phép nhân viên đã xác thực có quyền acquisition => order_receive đọc nội dung cơ sở dữ liệu tùy ý thông qua tham số yêu cầu orderby trong acqui/parcels.pl. Tham số này được chuyển đến C4::Acquisition::GetInvoices, hàm này liệt kê trắng (allow-list) tên cột nhưng nối trực tiếp token chỉ định hướng vào mệnh đề SQL ORDER BY mà không xác thực. Việc khai thác là mù (dựa trên thời gian) trong môi trường sản xuất và cho phép trích xuất thông tin nhận dạng cá nhân của khách hàng (PII), băm mật khẩu bcrypt của nhân viên và bí mật hai yếu tố.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.