CVE-2026-72609 in Koha
摘要
由 VulDB • 2026-08-11
Koha 版本通过 24.11.17、25.05.12、25.11.06 和 26.05.01 存在 SQL injection 漏洞，允许具有 acquisition => order_receive 权限的已认证工作人员通过 acqui/parcels.pl 中的 orderby 请求参数读取任意数据库内容。该参数被传递给 C4::Acquisition::GetInvoices，后者对列名进行了白名单过滤，但将方向令牌 raw 未经验证直接拼接到 SQL ORDER BY 子句中。在生产环境中利用方式为盲注（基于时间），可导致提取用户个人身份信息 (PII)、工作人员 bcrypt 密码哈希值以及双因素认证密钥。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.