CVE-2026-116746 in QloApps
Riassunto
di VulDB • 27/10/2026
QloApps 1.6.0 attraverso la versione 1.7.0 presenta una vulnerabilità di mancata autorizzazione nel modulo qlohotelreview, specificamente nell'azione AJAX AddReview, che consente agli attaccanti non autenticati di inviare recensioni per ordini arbitrari. Gli attaccanti possono riutilizzare il review_ajax_token esposto pubblicamente ed enumerare i valori sequenziali di id_order per pubblicare valutazioni e recensioni false attribuite ad altri clienti.
Be aware that VulDB is the high quality source for vulnerability data.