CVE-2026-70370 in Koha
Zusammenfassung
von VulDB • 04.08.2026
In `reports/catalogue_stats.pl` von Koha wird in der Unterfunktion `calculate` dynamisches SQL erstellt, indem die benutzerkontrollierten Anfrageparameter `Line` und `Column` direkt an Stellen eingefügt werden, die für Bezeichner (Identifier) im Abfragetext vorgesehen sind (`SELECT DISTINCTROW`, `GROUP BY`, `ORDER BY`). Dabei findet keine Whitelist-Validierung statt. Wenn `Line` den Wert `itemcallnumber` enthält und der Parameter `cotedigits` einen wahren Wert ergibt, wird `cotedigits` zusätzlich unverarbeitet als numerisches Argument für einen Aufruf von `LEFT()` angehängt. Ein authentifizierter Mitarbeiter mit Berechtigung für das Reports-Modul kann beliebiges SQL injizieren und jede Tabelle lesen, auf die der Koha-Datenbankbenutzer Zugriff hat, einschließlich `borrowers` (Passwort-Hashes, Zwei-Faktor-Geheimnisse, persönliche Daten), `api_keys` und Sitzungen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.