CVE-2026-89268
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
QloApps do wersji 1.7.0 renderuje parametry POST filtrów listy back-office do atrybutów value pól HTML bez ich escapowania w szablonie pomocnika listy. Atakujący może nakłonić uwierzytelnionych użytkowników do wysłania spreparowanych żądań POST ze złośliwymi ładunkami do kontrolerów listy, wykonując dowolny JavaScript w sesji ofiary w celu odczytu danych administracyjnych i wykonywania akcji.
Ocena ryzyka
Atakujący może wykonać dowolny JavaScript w sesji uwierzytelnionego administratora, odczytując dane administracyjne i wykonując działania w jego imieniu. Stanowi to poważne ryzyko dla poufności i integralności panelu back-office.
Rekomendacja
Zaktualizuj QloApps do wersji nowszej niż 1.7.0 lub zastosuj poprawkę dostawcy. Do czasu aktualizacji ogranicz dostęp do panelu back-office i weryfikuj niezaufane żądania POST.
Inne podatności w QloApps
Zobacz wszystkie- CVE-2025-67325Krytyczne
Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.
- CVE-2026-92234Średnie
QloApps do wersji 1.7.0 odzwierciedla nieescapowane nazwy cech podrzędnych w komunikatach błędów walidacji w panelu administracyjnym na stronie zarządzania cechami systemu rezerwacji hotelowych. Uwierzytelnieni użytkownicy back-office, którzy klikną spreparowany link, mogą wykonać wstrzyknięty JavaScript w swojej sesji administracyjnej poprzez parametr child_features.
- CVE-2026-25558Średnie
QloApps do wersji 1.7.0 zawiera podatność na trwały cross-site scripting w menedżerze plików panelu administracyjnego. Uwierzytelnieni administratorzy mogą wstrzyknąć złośliwy JavaScript poprzez przesłanie spreparowanych plików SVG z osadzonymi procedurami obsługi zdarzeń, np. onload.
- CVE-2026-25861Średnie
QloApps do wersji 1.7.0 używa słabego algorytmu MD5 do haszowania haseł w funkcji Tools::encrypt(). Atakujący mogą przeprowadzić ataki brute-force offline na te hashe, a ryzyko zwiększa automatyczne generowanie 8-znakowych haseł podczas konwersji gościa na klienta.
Oryginalny opis (angielski, źródło NVD)
QloApps through 1.7.0 renders back-office list filter POST parameters into HTML input value attributes without escaping them in the list helper template. Attackers can induce authenticated users to submit crafted POST requests with malicious payloads to list controllers, executing arbitrary JavaScript in the victim's session to read administrative data and perform actions.