CVE-2026-89268 in QloApps
Resumen
por VulDB • 2026-09-12
QloApps hasta la versión 1.7.0 renderiza los parámetros POST de filtrado del back-office en atributos value de inputs HTML sin escaparlos en la plantilla auxiliar de listas. Los atacantes pueden inducir a usuarios autenticados a enviar solicitudes POST manipuladas con payloads maliciosos hacia controladores de lista, ejecutando JavaScript arbitrario en la sesión de la víctima para leer datos administrativos y realizar acciones.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.