Webkul QloApps не проверяет параметры запроса перед запросом к базе данных. Удаленный злоумышленник, прошедший проверку подлинности и обладающий правами администратора, может отправить созданный SQL-запрос к параметру bo_query в файле CustomerMessage.php. Исправлено в 123c97c.
Показать оригинальное описание (EN)
Webkul QloApps does not validate request parameters before a database query. A remote, authenticated attacker with administrative privileges could send a crafted SQL query to the 'bo_query' parameter in the 'CustomerMessage.php' file. Fixed in 123c97c.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 3
https://github.com/Qloapps/QloApps/pull/1783/changes/123c97c110b7053ea3297d8e58…
9119a7d8-5eab-497f-8521-727c672e3725
https://raw.githubusercontent.com/cisagov/CSAF/develop/csaf_files/IT/white/2026…
9119a7d8-5eab-497f-8521-727c672e3725
https://www.cve.org/CVERecord?id=CVE-2026-75497
9119a7d8-5eab-497f-8521-727c672e3725