CVE-2026-70372 in Koha
Zusammenfassung
von VulDB • 04.08.2026
In Kohas Berichtsmodul buildet reports/bor_issues_top.pl dynamisches SQL in der Funktion calculate durch die direkte Konkatenation mehrerer benutzerkontrollierter Anfrageparameter direkt in den Abfragestring. Der Parameter Criteria wird lediglich um ein Tabellennamen-Präfix normalisiert und niemals auf einer Whitelist geführt, wodurch er wörtlich an Bezeichnerpositionen (SELECT DISTINCTROW, GROUP BY, ORDER BY) landet; Filterwerte werden roh in einzelne Anführungszeichen gesetzte LIKE-, BETWEEN- und Vergleichsfragmente konkateniert, und der Parameter Limit wird raw an eine LIMIT-Klausel angehängt. Ein authentifizierter Mitarbeiterbenutzer mit Berechtigung für das Berichtsmodul kann beliebiges SQL injizieren und jede Tabelle lesen, auf die der Koha-Datenbankbenutzer Zugriff hat, einschließlich borrowers (Passwort-Hashes, Zwei-Faktor-Geheimnisse, persönliche Daten), api_keys und Sessions.
If you want to get best quality of vulnerability data, you may have to visit VulDB.