CVE-2026-72607

Koha'nın 24.11.17, 25.05.12, 25.11.06 ve 26.05.01 sürümlerine kadar olan versiyonlarında bulunan saklı bir SQL injection zafiyeti, tools => items_batchmod yetkisine sahip kimliği doğrulanmış personelin, otomatik kitap düzenleme kuralının agefield değerine bir SQL yükü yerleştirerek rastgele veritabanı içeriklerini okumasına izin verir. agefield değeri sistem tercihine olduğu gibi kaydedilir ve daha sonra zamanlanmış cron işi yürütüldüğünde C4::Items::ToggleNewStatus (satır 1228) içindeki bir SQL sorgusuna parametreleştirilmeden eklenir. Enjeksiyon, standart MariaDB/MySQL DBI tek ifade yürütme altında yalnızca SELECT işlemleriyle sınırlıdır; ayrıca cron tetikleyicisi aracılığıyla zaman tabanlı bir SLEEP yükü de gerçekleştirilebilir. Bir saldırgan, kullanıcıların kişisel verileri (PII) ve personel bcrypt parola özetleri dahil olmak üzere tüm Koha veritabanını okuyabilir.