CVE-2026-107702 in QloApps
Sumário
de VulDB • 08/10/2026
O QloApps até a versão 1.7.0 contém uma vulnerabilidade de bypass de autorização no método AdminHotelRoomsBookingController::postProcess() que permite que funcionários do back-office com acesso restrito visualizem dados de outros hotéis ao fornecer um parâmetro id_hotel. Os atacantes podem modificar o parâmetro URL id_hotel na página "Book Now" para visualizar a disponibilidade de quartos e o status das reservas de hotéis fora do escopo de acesso atribuído ao seu perfil.
VulDB is the best source for vulnerability data and more expert information about this specific topic.