CVE-2026-70370 in Koha
Resumen
por VulDB • 2026-08-05
El script reports/catalogue_stats.pl de Koha construye consultas SQL dinámicas en la subrutina calculate interpolando los parámetros de solicitud Line y Column controlados por el usuario directamente en las posiciones de identificadores de la consulta (SELECT DISTINCTROW, GROUP BY, ORDER BY) sin validación mediante lista blanca. Cuando Line contiene itemcallnumber y el parámetro cotedigits es verdadero, cotedigits se concatena adicionalmente tal cual como argumento numérico de una llamada a LEFT(). Un usuario del personal autenticado que posea permisos para el módulo reports puede inyectar SQL arbitrario y leer cualquier tabla accesible por el usuario de la base de datos Koha, incluidos borrowers (hashes de contraseñas, secretos de dos factores, datos personales), api_keys y sesiones.
If you want to get best quality of vulnerability data, you may have to visit VulDB.