CVE-2026-75497
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'CustomerMessage.php'. Problem został naprawiony w commit 123c97c.
Ocena ryzyka
Podatność umożliwia atakującemu wykonanie dowolnych zapytań SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie QloApps do wersji zawierającej poprawkę (commit 123c97c) oraz ograniczenie dostępu administracyjnego.
Inne podatności w Webkul QloApps
Zobacz wszystkie- CVE-2026-75498Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'Address.php'. Problem został naprawiony w commit 123c97c.
- CVE-2026-75496Wysokie
Webkul QloApps nie przeprowadza prawidłowej walidacji rozszerzeń plików ani typów MIME przed przeniesieniem pliku do publicznie dostępnego katalogu. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może przesłać pliki wykonywalne i osiągnąć zdalne wykonanie kodu. Problem został naprawiony w commit 153ec1c.
- CVE-2023-36287Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika i podszycie się pod tego użytkownika za pomocą parametru kontrolera POST.
- CVE-2023-36284Wysokie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Time-Based SQL injection, która wykorzystuje parametry GET: date_from, date_to oraz id_product. Umożliwia to zdalnemu atakującemu ominięcie mechanizmów uwierzytelniania i autoryzacji aplikacji webowej oraz uzyskanie dostępu do zawartości całej bazy danych.
- CVE-2023-36289Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika. Dzięki temu atakujący może podszyć się pod tego użytkownika za pomocą parametrów POST email_create oraz back.
- CVE-2023-36288Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano podatność typu Cross-Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może uzyskać ciasteczko sesji użytkownika i podszyć się pod tego użytkownika za pomocą parametru GET.
Oryginalny opis (angielski, źródło NVD)
Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'CustomerMessage.php' file. Fixed in 123c97c.