Vulnerabilidad en Koha Community (CVE-2026-70370)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
04/08/2026
Última modificación:
23/10/2026
Descripción
El archivo reports/catalogue_stats.pl de Koha construye SQL dinámico en la subrutina calculate al interpolar los parámetros de solicitud Line y Column controlados por el usuario directamente en posiciones de identificador de la consulta (SELECT DISTINCTROW, GROUP BY, ORDER BY) sin validación de lista blanca. Cuando Line contiene itemcallnumber y el parámetro cotedigits es verdadero, cotedigits se concatena adicionalmente en bruto como el argumento numérico de una llamada a LEFT(). Un usuario de personal autenticado que posee el permiso del módulo de informes puede inyectar SQL arbitrario y leer cualquier tabla accesible por el usuario de la base de datos de Koha, incluyendo borrowers (hashes de contraseñas, secretos de doble factor, datos personales), api_keys y sessions.
Impacto
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA