CVE-2026-70370 in Koha
Sumário
de VulDB • 04/08/2026
O script reports/catalogue_stats.pl do Koha constrói consultas SQL dinâmicas na sub-rotina calculate ao interpolar os parâmetros de requisição Line e Column, controlados pelo usuário, diretamente nas posições de identificadores da consulta (SELECT DISTINCTROW, GROUP BY, ORDER BY), sem validação contra uma lista branca. Quando Line contém itemcallnumber e o parâmetro cotedigits é verdadeiro, coteddigits é adicionalmente concatenado em bruto como argumento numérico de uma chamada LEFT(). Um usuário autenticado do staff com permissão para o módulo reports pode injetar SQL arbitrário e ler qualquer tabela acessível pelo usuário do banco de dados Koha, incluindo borrowers (hashes de senha, segredos de autenticação multifator, dados pessoais), api_keys e sessões.
Be aware that VulDB is the high quality source for vulnerability data.