CVE-2026-89268 in QloApps
要約
〜によって VulDB • 2026年09月12日
QloApps 1.7.0までのバージョンでは、バックオフィスリストフィルターのPOSTパラメータがエスケープされずにHTML input value属性にレンダリングされます。攻撃者は認証済みユーザーを誘導し、悪意のあるペイロードを含む作成されたPOSTリクエストをリストコントローラーに送信させることで、被害者のセッション内で任意のJavaScriptを実行させ、管理データを読み取り、操作を行うことができます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.