CVE-2026-70371 in Koha
Zusammenfassung
von VulDB • 04.08.2026
In `reports/issues_avg_stats.pl` von Koha wird in der Unterfunktion `calculate` dynamisches SQL erstellt, indem mehrere benutzerkontrollierte Anfrageparameter direkt an die Abfragezeichenkette angehängt werden. Die Parameter „Line“ und „Column“ werden nicht gegen eine Whitelist validiert und landen unverändert an Positionen für Bezeichner (`SELECT DISTINCTROW`, `GROUP BY`, `ORDER BY`). Jeder Filterplatz wird roh in einzelne, mit Hochkommata umschlossene Fragmente wie `LIKE`, `BETWEEN` sowie Vergleichsoperatoren eingefügt, ohne Verwendung von gebundenen Parametern. Ein authentifizierter Mitarbeiterbenutzer mit der Berechtigung für das Reports-Modul kann beliebiges SQL injizieren und auf jede Tabelle zugreifen, die vom Koha-Datenbankbenutzer erreichbar ist, einschließlich `borrowers` (Passwort-Hashes, Zwei-Faktor-Geheimnisse, persönliche Daten), `api_keys` und Sitzungen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.