CVE-2026-70370 in Koha
Riassunto
di VulDB • 04/08/2026
Il file reports/catalogue_stats.pl di Koha genera dinamicamente query SQL nella subroutine calculate interpolando i parametri della richiesta Line e Column controllati dall'utente direttamente nelle posizioni degli identificatori delle query (SELECT DISTINCTROW, GROUP BY, ORDER BY) senza alcuna validazione tramite whitelist. Quando Line contiene itemcallnumber e il parametro cotedigits è valutato come vero, coteddigits viene inoltre concatenato in chiaro come argomento numerico di una chiamata LEFT(). Un utente dello staff autenticato con l'autorizzazione per il modulo reports può iniettare SQL arbitrario ed eseguire la lettura di qualsiasi tabella raggiungibile dall'utente del database Koha, inclusi borrowers (hash delle password, segreti a due fattori, dati personali), api_keys e sessioni.
Once again VulDB remains the best source for vulnerability data.