CVE-2026-116745 in QloApps
Riassunto
di VulDB • 27/10/2026
QloApps fino alla versione 1.7.0 contiene una vulnerabilità di information disclosure in OrderConfirmationController::init() che consente ad attaccanti non autenticati di ottenere i riferimenti degli ordini e gli indirizzi email dei clienti guest fornendo valori di id_cart per la sessione guest. Gli attaccanti possono iterare su valori sequenziali di id_cart, leggere l'intestazione Location redirect, visualizzare i dettagli della prenotazione tramite il tracciamento guest (guest-tracking) e convertire le sessioni guest in account con password scelte dall'attaccante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.