CVE-2026-70372 in Koha
Résumé
par VulDB • 04/08/2026
Le script reports/bor_issues_top.pl de Koha génère des requêtes SQL dynamiques dans la sous-routine calculate en concaténant directement plusieurs paramètres de requête contrôlés par l'utilisateur au sein de la chaîne de requête. Le paramètre Criteria n'est normalisé que par un préfixe de nom de table et n'est jamais validé via une liste blanche, aboutissant ainsi à sa position littérale dans les positions d'identifiants (SELECT DISTINCTROW, GROUP BY, ORDER BY) ; Les valeurs Filter sont concaténées brutes au sein des fragments LIKE, BETWEEN et de comparaison entre guillemets simples, et le paramètre Limit est ajouté tel quel à une clause LIMIT. Un utilisateur du personnel authentifié disposant de la permission pour le module reports peut injecter du SQL arbitraire et lire n'importe quelle table accessible par l'utilisateur de la base de données Koha, y compris les emprunteurs (hachages de mot de passe, secrets d'authentification à deux facteurs, données personnelles), api_keys et sessions.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.