CVE-2026-105836
ŚrednieCVSS 5.4Streszczenie
QloApps do wersji 1.7.0 zawiera podatność obejścia autoryzacji w metodzie AdminProductsController::ajaxProcessBulkUpdateRooms. Pracownicy back-office ograniczeni do jednego hotelu mogą modyfikować pokoje innych hoteli, przesyłając obce identyfikatory pokoi w parametrze id_rooms, zmieniając status, piętro, komentarze lub daty dezaktywacji.
Ocena ryzyka
Może dojść do zakłócenia dostępności pokoi i rezerwacji w innych hotelach. Nieuprawnione zmiany danych mogą prowadzić do błędów operacyjnych i strat finansowych.
Rekomendacja
Zaktualizuj QloApps do wersji nowszej niż 1.7.0, gdy tylko będzie dostępna. Do tego czasu ogranicz uprawnienia pracowników back-office i monitoruj zmiany w danych pokoi.
Inne podatności w QloApps
Zobacz wszystkie- CVE-2026-109393Średnie
QloApps do wersji 1.7.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w AJAX-owych handlerach panelu administracyjnego, które pomijają sprawdzenia htl_access dla hoteli.
- CVE-2026-103590Średnie
QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w polach długości pobytu edytora typów pokoi w back-office. Atakujący mogą nakłonić uwierzytelnionych administratorów do wysłania spreparowanych żądań POST z złośliwymi ładunkami w parametrach restriction_min_los i restriction_max_los, wykonując dowolny JavaScript w sesji administracyjnej ofiary.
- CVE-2026-103587Średnie
QloApps do wersji 1.7.0 zawiera podatność typu reflected XSS w wyszukiwarce Book Now systemu rezerwacji hotelowych w panelu back-office, gdzie parametry date_to i id_room_type są kopiowane do zmiennych szablonu bez walidacji. Atakujący może przygotować złośliwy link z ładunkiem JavaScript w tych parametrach, który wykona się w sesji zalogowanego administratora po kliknięciu linku.
- CVE-2025-67325Krytyczne
Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.
- CVE-2026-107702Średnie
QloApps do wersji 1.7.0 zawiera podatność na obejście autoryzacji w AdminHotelRoomsBookingController::postProcess(), która pozwala ograniczonym pracownikom back-office na dostęp do danych innych hoteli poprzez podanie parametru id_hotel. Atakujący mogą zmodyfikować parametr id_hotel w URL na stronie Book Now, aby zobaczyć dostępność pokoi i status rezerwacji hoteli spoza ich przypisanego profilu dostępu.
- CVE-2026-103589Średnie
QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w edytorze typów pokoi w back-office, który nie escapuje wartości pól room_num, floor i comment w atrybutach input. Atakujący mogą nakłonić uwierzytelnionych użytkowników back-office do wysłania spreparowanych żądań POST z złośliwymi ładunkami, wykonując dowolny JavaScript w sesji administracyjnej ofiary.
- CVE-2026-103588Średnie
QloApps do wersji 1.7.0 zawiera podatność typu reflected XSS w polu exceptions formularza Transplant a module w panelu administracyjnym. Atakujący może przygotować złośliwy link z ładunkiem JavaScript w parametrze exceptions, który wykona się w sesji zalogowanego administratora po kliknięciu linku.
- CVE-2026-93988Średnie
QloApps do wersji 1.7.0 zawiera podatność path traversal w akcji getEmailHTML w pliku admin/ajax.php, która pozwala uwierzytelnionym użytkownikom back-office na odczyt dowolnych plików. Atakujący mogą podać sekwencje ścieżek względnych w parametrze email, aby obejść ograniczenia katalogowe i uzyskać dostęp do poufnych plików, w tym danych uwierzytelniających do bazy danych i danych konfiguracyjnych.
- CVE-2026-92234Średnie
QloApps do wersji 1.7.0 odzwierciedla nieescapowane nazwy cech podrzędnych w komunikatach błędów walidacji w panelu administracyjnym na stronie zarządzania cechami systemu rezerwacji hotelowych. Uwierzytelnieni użytkownicy back-office, którzy klikną spreparowany link, mogą wykonać wstrzyknięty JavaScript w swojej sesji administracyjnej poprzez parametr child_features.
- CVE-2026-89268Średnie
QloApps do wersji 1.7.0 renderuje parametry POST filtrów listy back-office do atrybutów value pól HTML bez ich escapowania w szablonie pomocnika listy. Atakujący może nakłonić uwierzytelnionych użytkowników do wysłania spreparowanych żądań POST ze złośliwymi ładunkami do kontrolerów listy, wykonując dowolny JavaScript w sesji ofiary w celu odczytu danych administracyjnych i wykonywania akcji.
Oryginalny opis (angielski, źródło NVD)
QloApps through 1.7.0 contains an authorization bypass vulnerability in AdminProductsController::ajaxProcessBulkUpdateRooms that allows hotel-restricted back-office employees to modify rooms of other hotels. Attackers can submit foreign room IDs in the id_rooms parameter to change status, floor, comments, or inactive dates, disrupting availability and bookings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS