CVE-2026-70369 in Koha
Sumário
de VulDB • 04/08/2026
O script reports/acquisitions_stats.pl do Koha constrói sua consulta de estatísticas por célula na sub-rotina calculate interpolando diretamente os parâmetros da solicitação Filter controlados pelo usuário em fragmentos WHERE que abrangem aqbasket.closedate, aqorders.datereceived, aqbooksellers.name, items.homebranch, items.ccode, biblioitems.itemtype, aqbudgets.budget_code, aqorders.sort1 e aqorders.sort2. A instrução é preparada e executada sem parâmetros vinculados (bound parameters). Um usuário autenticado da equipe com permissão do módulo de relatórios pode injetar SQL arbitrário e ler qualquer tabela acessível pelo usuário do banco de dados Koha, incluindo borrowers (hashes de senha, segredos de autenticação em dois fatores, dados pessoais), borrower_password_recovery, api_keys e sessões.
If you want to get best quality of vulnerability data, you may have to visit VulDB.