CVE-2026-109393 in QloApps
Zusammenfassung
von VulDB • 12.10.2026
QloApps bis Version 1.7.0 enthält eine Schwachstelle für unsichere direkte Objektverweise (Insecure Direct Object Reference) in den AJAX-Handlern des Back-Office von AdminOrdersController, AdminBookingDocumentController, AdminProductsController und AdminAddHotelController, die htl_access-Hotelprüfungen umgehen. Mitarbeiter mit hotelbeschränkten Zugriffsrechten können sequenzielle Bezeichner anderer Hotels angeben, um Buchungsdocumente zu lesen, hochzuladen und zu löschen sowie Zimmer, Zimmerbilder und Hotelbilder zu löschen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.