Podatności QloApps

QloApps do wersji 1.7.0 zawiera podatność typu insecure direct object reference w OrderDetailController::displayAjaxSubmitRefundRequest(), która pozwala uwierzytelnionym klientom składać wnioski o zwrot dla linii usług innych klientów. Atakujący mogą podać obce wartości id_service_product_order_detail wraz z własnym id_order, aby tworzyć rekordy zwrotów, anulować linie usług ofiar i uszkadzać ilości zwrotów.

QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w polach długości pobytu edytora typów pokoi w back-office. Atakujący mogą nakłonić uwierzytelnionych administratorów do wysłania spreparowanych żądań POST z złośliwymi ładunkami w parametrach restriction_min_los i restriction_max_los, wykonując dowolny JavaScript w sesji administracyjnej ofiary.

QloApps do wersji 1.7.0 zawiera podatność typu reflected XSS w wyszukiwarce Book Now systemu rezerwacji hotelowych w panelu back-office, gdzie parametry date_to i id_room_type są kopiowane do zmiennych szablonu bez walidacji. Atakujący może przygotować złośliwy link z ładunkiem JavaScript w tych parametrach, który wykona się w sesji zalogowanego administratora po kliknięciu linku.

Nieograniczone przesyłanie plików w funkcji recenzji hotelu w QloApps w wersjach 1.7.0 i wcześniejszych pozwala zdalnym, nieuwierzytelnionym atakującym osiągnąć zdalne wykonanie kodu.

QloApps w wersjach od 1.6.0 do 1.7.0 zawiera podatność braku autoryzacji w akcji AJAX AddReview modułu qlohotelreview, która pozwala nieuwierzytelnionym atakującym przesyłać recenzje dla dowolnych zamówień. Atakujący mogą wykorzystać publicznie ujawniony token review_ajax_token i wyliczać kolejne wartości id_order, aby publikować fałszywe oceny i recenzje przypisane innym klientom.

QloApps do wersji 1.7.0 zawiera podatność na ujawnienie informacji w OrderConfirmationController::init(), która pozwala nieuwierzytelnionym atakującym uzyskać referencje zamówień gości i adresy e-mail poprzez podanie wartości id_cart gościa. Atakujący mogą iterować kolejne wartości id_cart, odczytywać nagłówek przekierowania Location, przeglądać szczegóły rezerwacji przez śledzenie gościa i konwertować gości na konta z hasłami wybranymi przez atakującego.

QloApps do wersji 1.7.0 zawiera podatność na nieprawidłową kontrolę dostępu w AdminSlipController, która pozwala pracownikom back-office ograniczonym do hotelu na dostęp do not kredytowych wszystkich hoteli. Atakujący mogą przeglądać, eksportować jako PDF, oznaczać jako zrealizowane oraz generować bony na zakupy z rekordów zwrotów innych hoteli, ujawniając tożsamości klientów i kwoty.

QloApps do wersji 1.7.0 zawiera podatność na złamaną kontrolę dostępu, która pozwala pracownikom back-office ograniczonym do hotelu na tworzenie typów pokoi pod nieprzypisanymi hotelami poprzez podanie dowolnego id_hotel. Atakujący mogą wyliczyć wszystkie hotele przez niefiltrowany selektor formularza typów pokoi i wysyłać obce identyfikatory hoteli do AdminProductsController, tworząc pokoje i inwentarz pod innymi hotelami.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w AdminSearchConfController::processSave(), która odbija odrzucone aliasy i wartości wyszukiwania bez escapowania w komunikatach o błędach walidacji. Atakujący mogą nakłonić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania, wykonując JavaScript w jego sesji administracyjnej.

QloApps do wersji 1.7.0 zawiera podatność na odbite cross-site scripting w formularzu AdminHotelFeaturePricesSettings, która odbija wartości feature_price_name i impact_price po nieudanej walidacji bez escapowania. Atakujący mogą zwabić uwierzytelnionego użytkownika back-office do przesłania spreparowanego żądania za pomocą złośliwego linku lub automatycznie przesyłanego formularza, wykonując JavaScript w jego sesji administracyjnej.

QloApps do wersji 1.7.0 zawiera podatność na odbity cross-site scripting (XSS), która pozwala zdalnym atakującym wstrzykiwać skrypty przez parametr price w formularzu Additional Facilities w panelu administracyjnym. Atakujący może nakłonić uwierzytelnionego użytkownika panelu administracyjnego do wysłania spreparowanego żądania, którego niepoprawna wartość price jest ponownie renderowana po nieudanej walidacji, wykonując JavaScript w sesji administracyjnej.

QloApps do wersji 1.7.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w AJAX-owych handlerach panelu administracyjnego, które pomijają sprawdzenia htl_access dla hoteli.

QloApps do wersji 1.7.0 zawiera podatność na obejście autoryzacji w AdminHotelRoomsBookingController::postProcess(), która pozwala ograniczonym pracownikom back-office na dostęp do danych innych hoteli poprzez podanie parametru id_hotel. Atakujący mogą zmodyfikować parametr id_hotel w URL na stronie Book Now, aby zobaczyć dostępność pokoi i status rezerwacji hoteli spoza ich przypisanego profilu dostępu.

QloApps do wersji 1.7.0 zawiera podatność obejścia autoryzacji w metodzie AdminProductsController::ajaxProcessBulkUpdateRooms. Pracownicy back-office ograniczeni do jednego hotelu mogą modyfikować pokoje innych hoteli, przesyłając obce identyfikatory pokoi w parametrze id_rooms, zmieniając status, piętro, komentarze lub daty dezaktywacji.

QloApps do wersji 1.7.0 zawiera podatność typu odbity cross-site scripting (XSS) w edytorze typów pokoi w back-office, który nie escapuje wartości pól room_num, floor i comment w atrybutach input. Atakujący mogą nakłonić uwierzytelnionych użytkowników back-office do wysłania spreparowanych żądań POST z złośliwymi ładunkami, wykonując dowolny JavaScript w sesji administracyjnej ofiary.

QloApps do wersji 1.7.0 zawiera podatność typu reflected XSS w polu exceptions formularza Transplant a module w panelu administracyjnym. Atakujący może przygotować złośliwy link z ładunkiem JavaScript w parametrze exceptions, który wykona się w sesji zalogowanego administratora po kliknięciu linku.

QloApps do wersji 1.7.0 zawiera podatność path traversal w akcji getEmailHTML w pliku admin/ajax.php, która pozwala uwierzytelnionym użytkownikom back-office na odczyt dowolnych plików. Atakujący mogą podać sekwencje ścieżek względnych w parametrze email, aby obejść ograniczenia katalogowe i uzyskać dostęp do poufnych plików, w tym danych uwierzytelniających do bazy danych i danych konfiguracyjnych.

QloApps do wersji 1.7.0 odzwierciedla nieescapowane nazwy cech podrzędnych w komunikatach błędów walidacji w panelu administracyjnym na stronie zarządzania cechami systemu rezerwacji hotelowych. Uwierzytelnieni użytkownicy back-office, którzy klikną spreparowany link, mogą wykonać wstrzyknięty JavaScript w swojej sesji administracyjnej poprzez parametr child_features.

QloApps do wersji 1.7.0 renderuje parametry POST filtrów listy back-office do atrybutów value pól HTML bez ich escapowania w szablonie pomocnika listy. Atakujący może nakłonić uwierzytelnionych użytkowników do wysłania spreparowanych żądań POST ze złośliwymi ładunkami do kontrolerów listy, wykonując dowolny JavaScript w sesji ofiary w celu odczytu danych administracyjnych i wykonywania akcji.

QloApps do wersji 1.7.0 zawiera podatność na trwały cross-site scripting w menedżerze plików panelu administracyjnego. Uwierzytelnieni administratorzy mogą wstrzyknąć złośliwy JavaScript poprzez przesłanie spreparowanych plików SVG z osadzonymi procedurami obsługi zdarzeń, np. onload.

QloApps do wersji 1.7.0 używa słabego algorytmu MD5 do haszowania haseł w funkcji Tools::encrypt(). Atakujący mogą przeprowadzić ataki brute-force offline na te hashe, a ryzyko zwiększa automatyczne generowanie 8-znakowych haseł podczas konwersji gościa na klienta.