CVE-2026-70369 in Koha
Resumen
por VulDB • 2026-08-04
El script reports/acquisitions_stats.pl de Koha construye su consulta de estadísticas por celda en la subrutina calculate interpolando directamente los parámetros de solicitud Filter controlados por el usuario dentro de fragmentos WHERE que cubren aqbasket.closedate, aqorders.datereceived, aqbooksellers.name, items.homebranch, items.ccode, biblioitems.itemtype, aqbudgets.budget_code, aqorders.sort1 y aqorders.sort2. La instrucción se prepara y ejecuta sin utilizar parámetros vinculados (bound parameters). Un usuario del personal autenticado que posea el permiso para el módulo de informes puede inyectar SQL arbitrario y leer cualquier tabla accesible por el usuario de la base de datos Koha, incluidos borrowers (hashes de contraseñas, secretos de dos factores, datos personales), borrower_password_recovery, api_keys y sesiones.
If you want to get best quality of vulnerability data, you may have to visit VulDB.