CVE-2026-70369

Nome do Software Vulnerável e Versões Afetadas Koha (versões afetadas não especificadas)

Description Um usuário de equipe autenticado com permissões do módulo de relatórios pode realizar a injeção de SQL através do endpoint reports/acquisitions stats.pl. O problema ocorre na função calculate(), onde parâmetros de requisição Filter controlados pelo usuário são interpolados diretamente em fragmentos WHERE para aqbasket.closedate, aqorders.datereceived, aqbooksellers.name, items.homebranch, items.ccode, biblioitems.itemtype, aqbudgets.budget code, aqorders.sort1 e aqorders.sort2 sem o uso de parâmetros vinculados. Isso permite que o invasor execute SQL arbitrário e acesse tabelas sensíveis, incluindo borrowers (contendo hashes de senha, segredos de dois fatores e dados pessoais), borrower password recovery, api keys e sessions.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.