CVE-2026-70373

Nome do Software Vulnerável e Versões Afetadas Koha (versões afetadas não especificadas)

Descrição O relatório de estatísticas de circulação em reports/issues stats.pl contém uma falha onde a função calculate() constrói consultas SQL concatenando parâmetros de requisição controlados pelo usuário diretamente na string. Especificamente, os parâmetros PeriodTypeSel, PeriodDaySel e PeriodMonthSel, bem como os slots de Filtro e identificadores de Linha e Coluna, são interpolados sem validação de lista branca ou vinculação de placeholders. Isso permite que um usuário da equipe autenticado com permissões do módulo de relatórios realize a injeção de SQL, possibilitando a leitura não autorizada de tabelas do banco de dados, como borrowers (contendo hashes de senha, segredos de dois fatores e dados pessoais), api keys e sessions.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.