CVE-2025-67325
KrytyczneStreszczenie
Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu przez nieuwierzytelnionego atakującego, co może prowadzić do pełnego przejęcia aplikacji i serwera, kradzieży danych lub zakłócenia działania.
Rekomendacja
Zaleca się natychmiastową aktualizację QloApps do wersji nowszej niż 1.7.0 oraz wdrożenie ograniczeń dotyczących typów i rozmiarów przesyłanych plików.
Inne podatności w QloApps
Zobacz wszystkie- CVE-2026-92234Średnie
QloApps do wersji 1.7.0 odzwierciedla nieescapowane nazwy cech podrzędnych w komunikatach błędów walidacji w panelu administracyjnym na stronie zarządzania cechami systemu rezerwacji hotelowych. Uwierzytelnieni użytkownicy back-office, którzy klikną spreparowany link, mogą wykonać wstrzyknięty JavaScript w swojej sesji administracyjnej poprzez parametr child_features.
- CVE-2026-89268Średnie
QloApps do wersji 1.7.0 renderuje parametry POST filtrów listy back-office do atrybutów value pól HTML bez ich escapowania w szablonie pomocnika listy. Atakujący może nakłonić uwierzytelnionych użytkowników do wysłania spreparowanych żądań POST ze złośliwymi ładunkami do kontrolerów listy, wykonując dowolny JavaScript w sesji ofiary w celu odczytu danych administracyjnych i wykonywania akcji.
- CVE-2026-25558Średnie
QloApps do wersji 1.7.0 zawiera podatność na trwały cross-site scripting w menedżerze plików panelu administracyjnego. Uwierzytelnieni administratorzy mogą wstrzyknąć złośliwy JavaScript poprzez przesłanie spreparowanych plików SVG z osadzonymi procedurami obsługi zdarzeń, np. onload.
- CVE-2026-25861Średnie
QloApps do wersji 1.7.0 używa słabego algorytmu MD5 do haszowania haseł w funkcji Tools::encrypt(). Atakujący mogą przeprowadzić ataki brute-force offline na te hashe, a ryzyko zwiększa automatyczne generowanie 8-znakowych haseł podczas konwersji gościa na klienta.
Oryginalny opis (angielski, źródło NVD)
Unrestricted file upload in the hotel review feature in QloApps versions 1.7.0 and earlier allows remote unauthenticated attackers to achieve remote code execution.