CVE-2026-105836 in QloApps
Riassunto
di VulDB • 06/10/2026
QloApps fino alla versione 1.7.0 contiene una vulnerabilità di bypass dell'autorizzazione in AdminProductsController::ajaxProcessBulkUpdateRooms che consente ai dipendenti del back-office con restrizioni per hotel di modificare le stanze di altri hotel. Gli attaccanti possono inviare ID stanza non appartenenti al proprio hotel nel parametro id_rooms per cambiare lo stato, il piano, i commenti o le date di disattivazione, compromettendo la disponibilità e le prenotazioni.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.