- Son 7 gün
- CWE-639
CVE-2026-115326
QloApps'te iade talebi bileşeninde yetkisiz nesne erişimi (IDOR) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
QloApps 1.7.0 dahil olmak üzere önceki sürümlerde, OrderDetailController::displayAjaxSubmitRefundRequest içinde güvensiz doğrudan nesne referansı (IDOR) açığı bulunmaktadır. Bu açık, kimliği doğrulanmış müşterilerin diğer müşterilere ait hizmet satırları için iade talebi göndermesine olanak tanımaktadır. Saldırganlar, kendi id_order değerleriyle birlikte başkasına ait id_service_product_order_detail değerlerini göndererek iade kayıtları oluşturabilir, mağdurların hizmet satırlarını iptal edebilir ve iade miktarlarını bozabilir.
Kaynaktaki açıklama (İngilizce)
QloApps through 1.7.0 contains an insecure direct object reference vulnerability in OrderDetailController::displayAjaxSubmitRefundRequest() that allows authenticated customers to submit refunds for other customers' service lines. Attackers can submit foreign id_service_product_order_detail values with their own id_order to create refund records, cancel victims' service lines, and corrupt refund quantities.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Webkul QloApps | ≤ 1.7.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/Qloapps/QloApps/pull/1930 Yama
- github.com/…ommit/105241f9a77e94b30d6c2d577d14b247f33a5fba Yama
- vulncheck.com/…-idor-via-orderdetailcontroller-refund-request Üçüncü taraf
- github.com/….0/controllers/front/OrderDetailController.php Diğer
- github.com/Qloapps/QloApps Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.