Veille CVE

‹ Retour à la liste

CVE-2026-70371

8.8 Élevée

Publiée le 04/08/2026 à 15:18 · Modifiée le 26/08/2026 à 19:36 · Analyse NVD reportée · Source : 309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c

Description

Koha's reports/issues_avg_stats.pl builds dynamic SQL in sub calculate by concatenating several user-controlled request parameters directly into the query string. The Line and Column parameters are not validated against any whitelist and land verbatim in identifier positions (SELECT DISTINCTROW, GROUP BY, ORDER BY), and each Filter slot is concatenated raw into single-quoted LIKE, BETWEEN, and comparison fragments with no bound parameters.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
3.1 8.8 Élevée 309f9ea4-e3e9-4c6c-b79d-e8eb01244f2c CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
3.1 6.5 Moyenne 134c704f-9b21-4f2e-91b3-4a467353bcc0 CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Faiblesses (CWE)

Références

Ailleurs