CVE-2026-110224

QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w polach długości pobytu edytora typów pokoi w back-office. Atakujący mogą nakłonić uwierzytelnionych administratorów do wysłania spreparowanych żądań POST z złośliwymi ładunkami w parametrach restriction_min_los i restriction_max_los, wykonując dowolny JavaScript w sesji administracyjnej ofiary.

QloApps do wersji 1.7.0 zawiera podatność typu reflected XSS w wyszukiwarce Book Now systemu rezerwacji hotelowych w panelu back-office, gdzie parametry date_to i id_room_type są kopiowane do zmiennych szablonu bez walidacji. Atakujący może przygotować złośliwy link z ładunkiem JavaScript w tych parametrach, który wykona się w sesji zalogowanego administratora po kliknięciu linku.

Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.

QloApps do wersji 1.7.0 zawiera podatność na nieprawidłową kontrolę dostępu w AdminSlipController, która pozwala pracownikom back-office ograniczonym do hotelu na dostęp do not kredytowych wszystkich hoteli. Atakujący mogą przeglądać, eksportować jako PDF, oznaczać jako zrealizowane oraz generować bony na zakupy z rekordów zwrotów innych hoteli, ujawniając tożsamości klientów i kwoty.

QloApps do wersji 1.7.0 zawiera podatność na złamaną kontrolę dostępu, która pozwala pracownikom back-office ograniczonym do hotelu na tworzenie typów pokoi pod nieprzypisanymi hotelami poprzez podanie dowolnego id_hotel. Atakujący mogą wyliczyć wszystkie hotele przez niefiltrowany selektor formularza typów pokoi i wysyłać obce identyfikatory hoteli do AdminProductsController, tworząc pokoje i inwentarz pod innymi hotelami.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w formularzu AdminHotelFeaturePricesSettings, która odbija wartości feature_price_name i impact_price po nieudanej walidacji bez escapowania. Atakujący mogą zwabić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania za pomocą złośliwego linku lub automatycznie przesyłanego formularza, wykonując JavaScript w jego sesji administracyjnej.

QloApps do wersji 1.7.0 zawiera podatność na odbity cross-site scripting (XSS), która pozwala zdalnym atakującym wstrzykiwać skrypty przez parametr price w formularzu Additional Facilities w panelu administracyjnym. Atakujący może nakłonić uwierzytelnionego użytkownika panelu administracyjnego do wysłania spreparowanego żądania, którego niepoprawna wartość price jest ponownie renderowana po nieudanej walidacji, wykonując JavaScript w sesji administracyjnej.

QloApps do wersji 1.7.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w AJAX-owych handlerach panelu administracyjnego, które pomijają sprawdzenia htl_access dla hoteli.

QloApps do wersji 1.7.0 zawiera podatność na obejście autoryzacji w AdminHotelRoomsBookingController::postProcess(), która pozwala ograniczonym pracownikom back-office na dostęp do danych innych hoteli poprzez podanie parametru id_hotel. Atakujący mogą zmodyfikować parametr id_hotel w URL na stronie Book Now, aby zobaczyć dostępność pokoi i status rezerwacji hoteli spoza ich przypisanego profilu dostępu.

QloApps do wersji 1.7.0 zawiera podatność obejścia autoryzacji w metodzie AdminProductsController::ajaxProcessBulkUpdateRooms. Pracownicy back-office ograniczeni do jednego hotelu mogą modyfikować pokoje innych hoteli, przesyłając obce identyfikatory pokoi w parametrze id_rooms, zmieniając status, piętro, komentarze lub daty dezaktywacji.