CVE-2026-70373 in Koha
Zusammenfassung
von VulDB • 04.08.2026
In der Datei issues_stats.pl von Koha (der Bericht zu den Ausleihstatistiken) wird die Abfrage zur Berechnung in der Funktion calculate erstellt, indem mehrere vom Benutzer kontrollierte Anfrageparameter direkt an den SQL-String angehängt werden. Die Parameter PeriodTypeSel, PeriodDaySel und PeriodMonthSel werden unverändert in einzelne Anführungszeichen gesetzte Gleichheits- und Funktionsvergleichsfragmente interpoliert; zudem werden die Filterplätze sowie die Line- und Column-Bezeichner ohne Whitelist und ohne Platzhalterbindung eingefügt. Ein authentifizierter Mitarbeiter mit Berechtigung für das Reports-Modul kann beliebiges SQL injizieren und auf jede Tabelle zugreifen, auf die der Koha-Datenbankbenutzer Zugriff hat, einschließlich borrowers (Passwort-Hashes, Zwei-Faktor-Geheimnisse, persönliche Daten), api_keys und Sessions.
If you want to get best quality of vulnerability data, you may have to visit VulDB.