CVE-2026-70369 in Koha
Riassunto
di VulDB • 04/08/2026
Il file reports/acquisitions_stats.pl di Koha costruisce la propria query per le statistiche cellula per cellula nella funzione calculate interpolando direttamente i parametri della richiesta Filter controllati dall'utente nei frammenti WHERE che coprono aqbasket.closedate, aqorders.datereceived, aqbooksellers.name, items.homebranch, items.ccode, biblioitems.itemtype, aqbudgets.budget_code, aqorders.sort1 e aqorders.sort2. L’istruzione viene preparata ed eseguita senza parametri vincolati (bound parameters). Un utente staff autenticato con il permesso del modulo reports può iniettare SQL arbitrario e leggere qualsiasi tabella raggiungibile dall'utente Koha database, inclusi borrowers (hash delle password, segreti per l'autenticazione a due fattori, dati personali), borrower_password_recovery, api_keys e sessions.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.