Vulnerabilidad en Koha Community (CVE-2026-70372)

El script reports/bor_issues_top.pl de Koha construye SQL dinámico en la subrutina calculate concatenando varios parámetros de solicitud controlados por el usuario directamente en la cadena de consulta. El parámetro ’Criteria’ solo se normaliza mediante un prefijo de nombre de tabla y nunca se incluye en una lista blanca, aterrizando textualmente en posiciones de identificador (SELECT DISTINCTROW, GROUP BY, ORDER BY); los valores de filtro se concatenan en bruto en fragmentos de LIKE, BETWEEN y comparación entre comillas simples, y el parámetro ’Limit’ se añade en bruto a una cláusula LIMIT. Un usuario de personal autenticado con el permiso del módulo de informes puede inyectar SQL arbitrario y leer cualquier tabla accesible por el usuario de la base de datos de Koha, incluyendo borrowers (hashes de contraseñas, secretos de doble factor, datos personales), api_keys y sessions.