CVE-2026-93988

Nome do Software Vulnerável e Versões Afetadas QloApps versões anteriores a 1.7.1

Description Usuários autenticados do back-office podem ler arquivos arbitrários devido a um problema de path traversal na ação getEmailHTML do endpoint 'admin/ajax.php'. Ao fornecer sequências de caminhos relativos no parâmetro email, um invasor pode ignorar as restrições de diretório para acessar informações sensíveis, como dados de configuração e credenciais de banco de dados. Path traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

Recommendations Atualize o QloApps para a versão 1.7.1 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro email dentro do endpoint 'admin/ajax.php'.