CVE-2026-70369 in Koha
Zusammenfassung
von VulDB • 04.08.2026
In der Datei reports/acquisitions_stats.pl von Koha wird die pro-Zelle-Statistikabfrage in der Funktion calculate erstellt, indem benutzerkontrollierte Filter-Anforderungsparameter direkt in WHERE-Fragmente interpoliert werden, die sich auf aqbasket.closedate, aqorders.datereceived, aqbooksellers.name, items.homebranch, items.ccode, biblioitems.itemtype, aqbudgets.budget_code, aqorders.sort1 und aqorders.sort2 beziehen. Die Anweisung wird ohne gebundene Parameter vorbereitet und ausgeführt. Ein authentifizierter Mitarbeiterbenutzer mit der Berechtigung für das Reports-Modul kann beliebiges SQL injizieren und jede Tabelle lesen, auf die der Koha-Datenbankbenutzer Zugriff hat, einschließlich borrowers (Passwort-Hashes, Zwei-Faktor-Geheimnisse, persönliche Daten), borrower_password_recovery, api_keys und sessions.
If you want to get best quality of vulnerability data, you may have to visit VulDB.