CVE-2026-70371 in Koha
Sumário
de VulDB • 04/08/2026
O script issues_avg_stats.pl do módulo de relatórios do Koha constrói consultas SQL dinâmicas na sub-rotina calculate ao concatenar vários parâmetros de solicitação controlados pelo usuário diretamente na string da consulta. Os parâmetros Line e Column não são validados contra nenhuma lista branca (whitelist) e aparecem literalmente em posições de identificadores (SELECT DISTINCTROW, GROUP BY, ORDER BY), enquanto cada slot Filter é concatenado cru em fragmentos LIKE, BETWEEN e de comparação entre aspas simples, sem o uso de parâmetros vinculados. Um usuário autenticado do quadro funcional com permissão no módulo de relatórios pode injetar SQL arbitrário e ler qualquer tabela acessível pelo usuário do banco de dados Koha, incluindo borrowers (hashes de senha, segredos da autenticação em dois fatores, dados pessoais), api_keys e sessões.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.