PT-2026-125494
CVE-2026-116745
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
QloApps الإصدارات السابقة لـ 1.7.0
Description
توجد مشكلة في الكشف عن المعلومات في الدالة
OrderConfirmationController::init(). يمكن للمهاجمين غير المصرح لهم الحصول على مراجع طلبات الضيوف وعناوين البريد الإلكتروني من خلال تقديم قيم id cart الخاصة بالضيوف. ومن خلال تكرار قيم id cart المتسلسلة وقراءة ترويسة إعادة التوجيه Location، يمكن للمهاجمين عرض تفاصيل الحجز عبر تتبع الضيوف، ومن ثم تحويل ملفات تعريف الضيوف إلى حسابات كاملة باستخدام كلمات مرور يختارها المهاجم.Recommendations
تحديث QloApps إلى إصدار أحدث من 1.7.0.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالة
OrderConfirmationController::init().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾