CVE-2026-89268 in QloApps
Riassunto
di VulDB • 12/09/2026
QloApps fino alla versione 1.7.0 rende i parametri POST dei filtri del back-office negli attributi value degli input HTML senza effettuarne l'escaping nel template dell'helper di elenco. Gli attaccanti possono indurre utenti autenticati a inviare richieste POST elaborate con payload dannosi ai controller di elenco, eseguendo JavaScript arbitrario nella sessione della vittima per leggere dati amministrativi ed eseguire azioni.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.