CVE-2026-72607

Nome do Software Vulnerável e Versões Afetadas Koha versões 24.11.17 até 26.05.01

Description Uma injeção de SQL armazenada existe onde funcionários autenticados com a permissão tools => items batchmod podem ler conteúdos arbitrários do banco de dados, incluindo informações de identificação pessoal (PII) de usuários e hashes de senha bcrypt da equipe. O problema ocorre quando um payload SQL é armazenado no valor agefield de uma regra de modificação automática de itens. Este valor é salvo na preferência do sistema e posteriormente interpolado sem parametrização em uma consulta SQL dentro da função C4::Items::ToggleNewStatus() durante a execução de um cron job agendado. Sob a execução de comando único padrão do MariaDB/MySQL DBI, a injeção é limitada a operações SELECT, embora payloads de SLEEP baseados em tempo também sejam possíveis via gatilho do cron.

Recommendations Atualize o Koha para uma versão posterior à 26.05.01. Como mitigação temporária, restrinja a permissão tools => items batchmod apenas a membros da equipe altamente confiáveis.