CVE-2026-70370

Nome do Software Vulnerável e Versões Afetadas Koha (versões afetadas não especificadas)

Descrição O script reports/catalogue stats.pl constrói SQL dinâmico dentro da função calculate() ao interpolar parâmetros de requisição controlados pelo usuário Line e Column diretamente em posições de identificadores da consulta, como SELECT DISTINCTROW, GROUP BY e ORDER BY, sem validação de lista branca. Além disso, se Line contiver itemcallnumber e o parâmetro cotedigits for verdadeiro, cotedigits é concatenado de forma bruta como o argumento numérico de uma chamada LEFT(). Um usuário de equipe autenticado com permissões do módulo de relatórios pode explorar isso para injetar SQL arbitrário e acessar qualquer tabela acessível pelo usuário do banco de dados, incluindo dados sensíveis como hashes de senha, segredos de dois fatores, dados pessoais na tabela borrowers, api keys e sessões.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.