CVE-2026-116745

Nome do Software Vulnerável e Versões Afetadas QloApps versões anteriores a 1.7.0

Description Um problema de divulgação de informações existe na função OrderConfirmationController::init(). Atacantes não autenticados podem obter referências de pedidos de convidados e endereços de e-mail fornecendo valores id cart de convidados. Ao iterar por valores sequenciais de id cart e ler o cabeçalho de redirecionamento Location, os atacantes podem visualizar detalhes de reserva via rastreamento de convidados e, posteriormente, converter perfis de convidados em contas completas usando senhas escolhidas pelo atacante.

Recommendations Atualize o QloApps para uma versão posterior a 1.7.0. Como mitigação temporária, restrinja o acesso à função OrderConfirmationController::init().