CVE-2026-70371

Nome do Software Vulnerável e Versões Afetadas Koha (versões afetadas não especificadas)

Descrição O script reports/issues avg stats.pl constrói SQL dinâmico dentro da função calculate() ao concatenar parâmetros de requisição controlados pelo usuário diretamente na string de consulta. Os parâmetros Line e Column não são validados contra uma lista permitida e são inseridos diretamente em posições de identificadores, como SELECT DISTINCTROW, GROUP BY e ORDER BY. Além disso, cada slot de Filter é concatenado de forma bruta em fragmentos de LIKE, BETWEEN e comparação entre aspas simples, sem o uso de parâmetros vinculados. Um usuário da equipe autenticado com permissões no módulo de relatórios pode explorar isso para injetar SQL arbitrário e acessar qualquer tabela acessível pelo usuário do banco de dados, incluindo dados sensíveis como hashes de senha, segredos de dois fatores, dados pessoais na tabela de tomadores, api keys e sessões.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.