CVE-2026-92234
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
QloApps do wersji 1.7.0 odzwierciedla nieescapowane nazwy cech podrzędnych w komunikatach błędów walidacji w panelu administracyjnym na stronie zarządzania cechami systemu rezerwacji hotelowych. Uwierzytelnieni użytkownicy back-office, którzy klikną spreparowany link, mogą wykonać wstrzyknięty JavaScript w swojej sesji administracyjnej poprzez parametr child_features.
Ocena ryzyka
Wykonanie wstrzykniętego JavaScriptu w sesji administratora może prowadzić do kradzieży danych sesyjnych lub wykonania nieautoryzowanych działań w panelu administracyjnym.
Rekomendacja
Zaktualizuj QloApps do wersji nowszej niż 1.7.0, a do czasu aktualizacji unikaj klikania niezaufanych linków w sesji administracyjnej.
Inne podatności w QloApps
Zobacz wszystkie- CVE-2025-67325Krytyczne
Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.
- CVE-2026-89268Średnie
QloApps do wersji 1.7.0 renderuje parametry POST filtrów listy back-office do atrybutów value pól HTML bez ich escapowania w szablonie pomocnika listy. Atakujący może nakłonić uwierzytelnionych użytkowników do wysłania spreparowanych żądań POST ze złośliwymi ładunkami do kontrolerów listy, wykonując dowolny JavaScript w sesji ofiary w celu odczytu danych administracyjnych i wykonywania akcji.
- CVE-2026-25558Średnie
QloApps do wersji 1.7.0 zawiera podatność na trwały cross-site scripting w menedżerze plików panelu administracyjnego. Uwierzytelnieni administratorzy mogą wstrzyknąć złośliwy JavaScript poprzez przesłanie spreparowanych plików SVG z osadzonymi procedurami obsługi zdarzeń, np. onload.
- CVE-2026-25861Średnie
QloApps do wersji 1.7.0 używa słabego algorytmu MD5 do haszowania haseł w funkcji Tools::encrypt(). Atakujący mogą przeprowadzić ataki brute-force offline na te hashe, a ryzyko zwiększa automatyczne generowanie 8-znakowych haseł podczas konwersji gościa na klienta.
Oryginalny opis (angielski, źródło NVD)
QloApps through 1.7.0 reflects unescaped child feature names into back-office validation error messages in the Hotel Reservation System feature management page. Authenticated back-office users who follow a crafted link can execute injected JavaScript in their administrative session via the child_features parameter.