CVE-2026-75496
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Webkul QloApps nie przeprowadza prawidłowej walidacji rozszerzeń plików ani typów MIME przed przeniesieniem pliku do publicznie dostępnego katalogu. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może przesłać pliki wykonywalne i osiągnąć zdalne wykonanie kodu. Problem został naprawiony w commit 153ec1c.
Ocena ryzyka
Podatność umożliwia atakującemu wykonanie dowolnego kodu na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie QloApps do wersji zawierającej poprawkę (commit 153ec1c) oraz ograniczenie uprawnień administratora.
Inne podatności w Webkul QloApps
Zobacz wszystkie- CVE-2026-75498Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'Address.php'. Problem został naprawiony w commit 123c97c.
- CVE-2026-75497Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'CustomerMessage.php'. Problem został naprawiony w commit 123c97c.
- CVE-2023-36287Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika i podszycie się pod tego użytkownika za pomocą parametru kontrolera POST.
- CVE-2023-36284Wysokie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Time-Based SQL injection, która wykorzystuje parametry GET: date_from, date_to oraz id_product. Umożliwia to zdalnemu atakującemu ominięcie mechanizmów uwierzytelniania i autoryzacji aplikacji webowej oraz uzyskanie dostępu do zawartości całej bazy danych.
- CVE-2023-36289Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika. Dzięki temu atakujący może podszyć się pod tego użytkownika za pomocą parametrów POST email_create oraz back.
- CVE-2023-36288Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano podatność typu Cross-Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może uzyskać ciasteczko sesji użytkownika i podszyć się pod tego użytkownika za pomocą parametru GET.
Oryginalny opis (angielski, źródło NVD)
Webkul QloApps does not perform proper validation on uploaded file extensions or MIME types before moving the file to a publicly accessible directory. A remote, authenticated attacker with administrative privileges could upload executable files and achieve remote code execution. Fixed in 153ec1c.