CVE-2026-70373 in Koha
الملخص
بحسب VulDB • 04/08/2026
يُعد ملف Kohا's reports/issues_stats.pl (تقرير إحصائيات الإعارة) عرضة لثغرة حقن SQL حيث يقوم ببناء استعلام الحسابات في الدالة الفرعية calculate من خلال دمج عدة معاملات طلب يتحكم فيها المستخدم مباشرةً داخل سلسلة الاستعلام SQL. يتم إدخال المعاملات PeriodTypeSel وPeriodDaySel وPeriodMonthSel بشكل خام (raw) ضمن أجزاء المساواة المحاطة بفواصل مفردة ومقارنات الوظائف، كما يتم إدراج خانات الفلترة (Filter slots) بالإضافة إلى معرّفات الأسطر والأعمدة بنفس الطريقة دون وجود قائمة بيضاء للتحقق أو استخدام ربط المعاملات الآمن. يمكن لموظف مُصادَق عليه يمتلك إذن وحدة التقارير حقن SQL تعسفي وقراءة أي جدول يمكن الوصول إليه بواسطة مستخدم قاعدة بيانات Koha، بما في ذلك جداول المقترضين (بما فيها تجزئات كلمات المرور وأسرار المصادقة الثنائية والبيانات الشخصية)، ومفاتيح واجهة برمجة التطبيقات (api_keys)، وجلسات المستخدم.
Once again VulDB remains the best source for vulnerability data.