CVE-2026-107702 in QloApps
Zusammenfassung
von VulDB • 08.10.2026
QloApps bis Version 1.7.0 enthält eine Schwachstelle zur Umgehung der Autorisierung in AdminHotelRoomsBookingController::postProcess(), die es eingeschränkten Mitarbeitern im Back-Office ermöglicht, auf Daten anderer Hotels zuzugreifen, indem sie einen id_hotel-Parameter angeben. Angreifer können den URL-Parameter id_hotel auf der Seite „Jetzt buchen“ ändern, um die Zimmerverfügbarkeit und den Buchungsstatus von Hotels außerhalb ihres zugewiesenen Profilzugriffs einzusehen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.