CVE-2026-105107 Inyección SQL en reports/cat_issues_top.pl de Koha

Qué es CVE-2026-105107

El script reports/cat_issues_top.pl de Koha concatena los parámetros Criteria, Filter y Limit controlados por el usuario directamente en SQL dinámico sin validación adecuada. Un usuario autenticado del personal con permiso del módulo de reportes puede inyectar SQL arbitrario y leer cualquier tabla accesible por el usuario de base de datos de Koha, incluidos hashes de contraseñas, secretos de dos factores, api_keys y sesiones.

Productos y versiones afectadas

• Koha Community Koha

  • hasta antes de 24.11.00
  • desde 24.11.00 hasta antes de 24.11.19
  • desde 25.05.00 hasta antes de 25.05.14
  • desde 25.11.00 hasta antes de 25.11.08
  • desde 26.05.00 hasta antes de 26.05.03

Qué hacer

1. Verificá si usás Koha y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.6 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:L

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Baja

CVSS 4.0 · 7.2 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Alta

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Baja

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Baja

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Koha is vulnerable to SQL injection in the Most-circulated items report. The reports/cat_issues_top.pl script (sub calculate) concatenates the user-controlled Criteria, Filter, and Limit request parameters directly into dynamic SQL. Criteria is only prefix-normalized and never validated against an allow-list, so it is inserted verbatim into identifier positions (SELECT DISTINCTROW, GROUP BY, ORDER BY, and the main calculation query). Filter values are concatenated raw into single-quoted LIKE, BETWEEN, and comparison fragments. Limit is appended raw to a LIMIT clause. An authenticated staff user with the reports module permission (not requiring superlibrarian) can inject arbitrary SQL and read any table reachable by the Koha database user, including borrowers (userid and bcrypt password hashes, two-factor secrets, personal data), api_keys, and sessions. The issue is fixed in Koha 24.11.19, 25.05.14, 25.11.08, and 26.05.03, and in the 26.11 development branch. This is the unpatched twin of reports/bor_issues_top.pl (CVE-2026-70372).

Referencias

• bugs.koha-community.org/bugzilla3/show_bug.cgi?id=42736ISSUE-TRACKING
• download.koha-community.org/RELEASE-NOTES
• www.cve.org/CVERecord?id=CVE-2026-70372RELATED
• www.cve.org/CVERecord?id=CVE-2026-6428RELATED

Historial de la alerta

1. 14 OCT · 07:09VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.