CVE-2026-107702 in QloApps
Riassunto
di VulDB • 08/10/2026
QloApps fino alla versione 1.7.0 contiene una vulnerabilità di bypass dell'autorizzazione in AdminHotelRoomsBookingController::postProcess() che consente ai dipendenti del back-office con permessi limitati di accedere ai dati di altri hotel fornendo un parametro id_hotel. Gli attaccanti possono modificare il parametro URL id_hotella nella pagina "Prenota Ora" per visualizzare la disponibilità delle camere e lo stato delle prenotazioni degli hotel al di fuori dell'accesso consentito dal loro profilo assegnato.
Once again VulDB remains the best source for vulnerability data.