CVE-2026-25558
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
QloApps do wersji 1.7.0 zawiera podatność na trwały cross-site scripting w menedżerze plików panelu administracyjnego. Uwierzytelnieni administratorzy mogą wstrzyknąć złośliwy JavaScript poprzez przesłanie spreparowanych plików SVG z osadzonymi procedurami obsługi zdarzeń, np. onload.
Ocena ryzyka
Atakujący może wykonać dowolny skrypt w przeglądarce każdego użytkownika, który wyświetli złośliwy plik SVG, co może prowadzić do kradzieży sesji, modyfikacji treści lub dalszych ataków.
Rekomendacja
Zaktualizuj QloApps do najnowszej wersji, w której usunięto tę podatność. Ogranicz możliwość przesyłania plików SVG przez administratorów, jeśli nie jest to niezbędne.
Inne podatności w QloApps
Zobacz wszystkie- CVE-2025-67325Krytyczne
Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.
- CVE-2026-25861Średnie
QloApps do wersji 1.7.0 używa słabego algorytmu MD5 do haszowania haseł w funkcji Tools::encrypt(). Atakujący mogą przeprowadzić ataki brute-force offline na te hashe, a ryzyko zwiększa automatyczne generowanie 8-znakowych haseł podczas konwersji gościa na klienta.
Oryginalny opis (angielski, źródło NVD)
QloApps through 1.7.0 contains a stored cross-site scripting vulnerability in the admin file manager that allows authenticated administrators to inject malicious JavaScript by uploading crafted SVG files. Attackers can embed JavaScript event handlers such as onload within SVG files uploaded through the file manager to execute arbitrary scripts in the browser of any user who subsequently views the file.