CVE-2026-72610
Açıklama
Koha'nın 24.11.17, 25.05.12, 25.11.06 ve 26.05.01 sürümlerine kadar olan versiyonlarında bulunan saklı bir SQL injection zafiyeti, borrowers => edit_borrowers yetkisine sahip kimliği doğrulanmış personelin, bir patron lang alanına SQL yükü kaydederek zaman tabanlı bir hizmet reddi (DoS) durumuna yol açmasına izin verir. Değer, etkilenen patron için bir ödünç verme fişi yazdırıldığında Koha::AdditionalContents->search_for_display içindeki bir alt sorguya ham olarak eklenir. 25 karakterlik sütun uzunluğu, istismarı zamanlama saldırılarıyla sınırlandırır; veri çıkarımı pratik değildir. Saklanan yük, sonraki her ödünç verme fişi yazdırma işleminde çalışır ve SLEEP değeri ile slip-news satırlarının sayısına bağlı olarak doğrusal şekilde ölçeklenir.
Nasıl düzeltilir
- Koha Community Koha24.11.18, 25.05.13, 25.11.07, 26.05.02 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Koha Community Koha | v < 24.11.18, 25.05.0 ≤ v < 25.05.13, 25.11.0 ≤ v < 25.11.07, 26.05.0 ≤ v < 26.05.02 | 24.11.18, 25.05.13, 25.11.07, 26.05.02 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.