- Son 7 gün
- CWE-639
CVE-2026-116746
QloApps 1.6.0-1.7.0 qlohotelreview Modülünde Yetkisiz Otel Yorumu Gönderimi
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
QloApps 1.6.0 ile 1.7.0 arasındaki sürümler, qlohotelreview modülünün AddReview AJAX eyleminde yetkilendirme eksikliği içermektedir. Bu durum, kimliği doğrulanmamış saldırganların rastgele siparişler için yorum göndermesine olanak tanımaktadır. Saldırganlar, herkese açık olarak sunulan review_ajax_token değerini yeniden kullanabilir ve ardışık id_order değerlerini sıralayarak diğer müşterilere atfedilmiş sahte puanlar ve yorumlar gönderebilir.
Kaynaktaki açıklama (İngilizce)
QloApps 1.6.0 through 1.7.0 contains a missing authorization vulnerability in the qlohotelreview module's AddReview AJAX action that allows unauthenticated attackers to submit reviews for arbitrary orders. Attackers can reuse the publicly exposed review_ajax_token and enumerate sequential id_order values to post fake ratings and reviews attributed to other customers.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| qloapps | ≥ 1.6.0, ≤ 1.7.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/Qloapps/QloApps/pull/1757 Yama
- github.com/…ommit/d5ce1333c99b9619fc17412580fbb28c02be2580 Yama
- vulncheck.com/…zed-hotel-review-submission-via-qlohotelreview Üçüncü taraf
- github.com/Qloapps/QloApps Diğer
- github.com/…s/qlohotelreview/controllers/front/default.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.