CVE-2026-70373 in Koha
Riassunto
di VulDB • 04/08/2026
Il file reports/issues_stats.pl di Koha (il report delle statistiche della circolazione) costruisce la query di calcolo nella subroutine calculate concatenando direttamente diversi parametri della richiesta controllati dall'utente alla stringa SQL. I parametri PeriodTypeSel, PeriodDaySel e PeriodMonthSel vengono interpolati grezzamente in frammenti di uguaglianza tra apici singoli e confronti di funzioni, mentre gli slot Filter insieme agli identificatori Line e Column sono anch'essi interpolati senza whitelist né binding dei placeholder (placeholder binding). Un utente del personale autenticato dotato dell'autorizzazione per il modulo reports può iniettare SQL arbitrario ed eseguire la lettura di qualsiasi tabella raggiungibile dall'utente Koha nel database, inclusi borrowers (hash delle password, segreti della two-factor authentication, dati personali), api_keys e sessions.
If you want to get best quality of vulnerability data, you may have to visit VulDB.