CVE-2026-93988
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
QloApps do wersji 1.7.0 zawiera podatność path traversal w akcji getEmailHTML w pliku admin/ajax.php, która pozwala uwierzytelnionym użytkownikom back-office na odczyt dowolnych plików. Atakujący mogą podać sekwencje ścieżek względnych w parametrze email, aby obejść ograniczenia katalogowe i uzyskać dostęp do poufnych plików, w tym danych uwierzytelniających do bazy danych i danych konfiguracyjnych.
Ocena ryzyka
Atakujący może uzyskać dostęp do krytycznych danych, takich jak poświadczenia bazy danych, co może prowadzić do pełnego przejęcia systemu.
Rekomendacja
Zaktualizuj QloApps do wersji nowszej niż 1.7.0. Ogranicz uprawnienia użytkowników back-office.
Inne podatności w QloApps
Zobacz wszystkie- CVE-2025-67325Krytyczne
Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.
- CVE-2026-92234Średnie
QloApps do wersji 1.7.0 odzwierciedla nieescapowane nazwy cech podrzędnych w komunikatach błędów walidacji w panelu administracyjnym na stronie zarządzania cechami systemu rezerwacji hotelowych. Uwierzytelnieni użytkownicy back-office, którzy klikną spreparowany link, mogą wykonać wstrzyknięty JavaScript w swojej sesji administracyjnej poprzez parametr child_features.
- CVE-2026-89268Średnie
QloApps do wersji 1.7.0 renderuje parametry POST filtrów listy back-office do atrybutów value pól HTML bez ich escapowania w szablonie pomocnika listy. Atakujący może nakłonić uwierzytelnionych użytkowników do wysłania spreparowanych żądań POST ze złośliwymi ładunkami do kontrolerów listy, wykonując dowolny JavaScript w sesji ofiary w celu odczytu danych administracyjnych i wykonywania akcji.
- CVE-2026-25558Średnie
QloApps do wersji 1.7.0 zawiera podatność na trwały cross-site scripting w menedżerze plików panelu administracyjnego. Uwierzytelnieni administratorzy mogą wstrzyknąć złośliwy JavaScript poprzez przesłanie spreparowanych plików SVG z osadzonymi procedurami obsługi zdarzeń, np. onload.
- CVE-2026-25861Średnie
QloApps do wersji 1.7.0 używa słabego algorytmu MD5 do haszowania haseł w funkcji Tools::encrypt(). Atakujący mogą przeprowadzić ataki brute-force offline na te hashe, a ryzyko zwiększa automatyczne generowanie 8-znakowych haseł podczas konwersji gościa na klienta.
Oryginalny opis (angielski, źródło NVD)
QloApps through 1.7.0 contains a path traversal vulnerability in the getEmailHTML action of admin/ajax.php that allows authenticated back-office users to read arbitrary files. Attackers can supply relative path sequences in the email parameter to bypass directory restrictions and access sensitive files including database credentials and configuration data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS