CVE-2026-72608
Təsvir
Koha-nın 24.11.17, 25.05.12, 25.11.06 və 26.05.01 versiyalarında mövcud olan saxlanılan SQL inyeksiyası zəifliyi, tools => label_creator icazəsinə malik autentifikasiya olunmuş personala patron kartı düzümünün image_name sahəsi vasitəsilə ixtiyari SQL sorğularını icra etməyə imkan verir. image_name dəyəri düzümün XML faylında olduğu kimi saxlanılır və daha sonra patron kartları toplu şəkildə çap edilərkən patroncards/create-pdf.pl faylındakı SQL sorğusuna birbaşa əlavə edilir. Hücumçu xəta əsaslı və ya zaman əsaslı kor (blind) inyeksiya vasitəsilə patronların şəxsi məlumatları (PII) və personalın bcrypt parol heşləri də daxil olmaqla bütün Koha verilənlər bazasını oxuya bilər.
Necə düzəltmək olar
- Koha Community Koha24.11.18, 25.05.13, 25.11.07, 26.05.02 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Koha Community Koha | v < 24.11.18, 25.05.0 ≤ v < 25.05.13, 25.11.0 ≤ v < 25.11.07, 26.05.0 ≤ v < 26.05.02 | 24.11.18, 25.05.13, 25.11.07, 26.05.02 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.