CVE-2026-93988: обход каталога в QloApps до 1.7.0 позволяет читать произвольные файлы
В QloApps версий до 1.7.0 включительно обнаружена уязвимость обхода каталога (path traversal) в действии getEmailHTML файла admin/ajax.php. Аутентифицированный пользователь бэк-офиса может читать произвольные файлы сервера, включая учётные данные базы данных и конфигурацию. Уязвимости присвоен высокий уровень опасности — CVSS 7.1.
Подробности
Уязвимость типа «обход каталога» (path traversal, CWE-22) локализована в действии getEmailHTML файла admin/ajax.php. Обработчик принимает параметр email и не выполняет достаточной проверки поступающего значения. Злоумышленник может передать последовательности относительных путей (например, вида ../), чтобы обойти ограничения на доступ к каталогам и обратиться к файлам за пределами ожидаемой директории. Ключевая особенность этой уязвимости — необходимость наличия учётной записи с доступом к бэк-офису. То есть эксплуатировать её может не любой внешний атакующий, а пользователь, уже прошедший аутентификацию в административной части. Однако это существенно не снижает риск: успешная эксплуатация открывает доступ к чувствительным данным, в том числе к учётным данным базы данных и конфигурационным файлам приложения. Получение такой информации может стать первым шагом к полной компрометации системы, включая доступ к базе данных и дальнейшее расширение присутствия в инфраструктуре. Уязвимости присвоен идентификатор CVE-2026-93988. Базовая оценка по шкале CVSS составляет 7.1, что соответствует высокому уровню опасности. Затронутый продукт — webkul qloapps, диапазон уязвимых версий — до 1.7.0 включительно.Что делать
Основная рекомендация — обновить QloApps до версии, в которой уязвимость устранена. Если на момент прочтения официальный патч ещё не выпущен либо обновление невозможно в ближайшее время, следует применить компенсирующие меры: — Ограничить круг пользователей, имеющих доступ к административной панели (бэк-офису), и провести ревизию существующих учётных записей. — Включить многофакторную аутентификацию для административных аккаунтов, чтобы снизить риск компрометации учётных данных. — Ограничить права веб-сервера и PHP-процесса на файловой системе: приложение не должно иметь доступа на чтение к файлам, не необходимым для его работы. — Разместить конфигурационные файлы с секретами вне корневого каталога веб-приложения и ограничить к ним доступ на уровне прав файловой системы. — Настроить веб-приложение (WAF) и правила фильтрации запросов для выявления и блокировки попыток передачи последовательностей обхода каталога в параметрах. — Вести мониторинг журналов веб-сервера и приложения на предмет подозрительных запросов к admin/ajax.php с параметром email, содержащим символы обхода каталога. Итог: CVE-2026-93988 — серьёзная уязвимость обхода каталога в QloApps до 1.7.0 включительно, дающая аутентифицированному администратору возможность читать произвольные файлы, включая конфигурацию и учётные данные базы данных. Приоритет реагирования — высокий: обновите продукт или незамедлительно примените компенсирующие меры и проверьте логи на предмет попыток эксплуатации.Источник: CVE Project (cvelistV5)