CVE-2026-72608

Nome do Software Vulnerável e Versões Afetadas Koha versões 24.11.17 até 26.05.01

Description Uma injeção de SQL armazenada existe onde membros da equipe autenticados que possuem a permissão tools => label creator podem executar comandos SQL arbitrários. O problema ocorre porque o campo image name de um layout de cartão de usuário é armazenado literalmente no XML do layout e, posteriormente, concatenado de forma bruta em uma consulta SQL no script patroncards/create-pdf.pl durante a impressão de um lote de cartões de usuário. Isso permite que um invasor recupere todo o banco de dados, incluindo informações de identificação pessoal (PII) de usuários e hashes de senha bcrypt da equipe, utilizando técnicas de injeção cega baseadas em erro ou tempo.

Recommendations Atualize o Koha para uma versão posterior à 26.05.01. Restrinja a permissão tools => label creator apenas para a equipe administrativa confiável para minimizar o risco de exploração.