Podatności Webkul QloApps 1.6.0
7 znanych podatności CVE w Webkul QloApps 1.6.0, przetłumaczonych i ocenionych.
- CVE-2026-75498Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'Address.php'. Problem został naprawiony w commit 123c97c.
- CVE-2026-75497Wysokie
Webkul QloApps nie weryfikuje parametrów żądania przed wykonaniem zapytania do bazy danych. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może wysłać spreparowane zapytanie SQL do parametru 'bo_query' w pliku 'CustomerMessage.php'. Problem został naprawiony w commit 123c97c.
- CVE-2026-75496Wysokie
Webkul QloApps nie przeprowadza prawidłowej walidacji rozszerzeń plików ani typów MIME przed przeniesieniem pliku do publicznie dostępnego katalogu. Zdalny, uwierzytelniony atakujący z uprawnieniami administratora może przesłać pliki wykonywalne i osiągnąć zdalne wykonanie kodu. Problem został naprawiony w commit 153ec1c.
- CVE-2023-36287Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika i podszycie się pod tego użytkownika za pomocą parametru kontrolera POST.
- CVE-2023-36284Wysokie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Time-Based SQL injection, która wykorzystuje parametry GET: date_from, date_to oraz id_product. Umożliwia to zdalnemu atakującemu ominięcie mechanizmów uwierzytelniania i autoryzacji aplikacji webowej oraz uzyskanie dostępu do zawartości całej bazy danych.
- CVE-2023-36289Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano nieautoryzowaną podatność typu Cross-Site Scripting (XSS), która umożliwia atakującemu uzyskanie ciasteczka sesji użytkownika. Dzięki temu atakujący może podszyć się pod tego użytkownika za pomocą parametrów POST email_create oraz back.
- CVE-2023-36288Średnie
W Webkul QloApps w wersji 1.6.0 zidentyfikowano podatność typu Cross-Site Scripting (XSS), która nie wymaga uwierzytelnienia. Atakujący może uzyskać ciasteczko sesji użytkownika i podszyć się pod tego użytkownika za pomocą parametru GET.