CVE-2026-93988: falha de alta gravidade em webkul qloapps
QloApps through 1.7.0 Arbitrary File Read via getEmailHTML
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 7.1epss 0.6%
QloApps through 1.7.0 contains a path traversal vulnerability in the getEmailHTML action of admin/ajax.php that allows authenticated back-office users to read arbitrary files. Attackers can supply relative path sequences in the email parameter to bypass directory restrictions and access sensitive files including database credentials and configuration data.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
webkul · qloappsPoCs públicas encontradas — 1
cve_referencehackmd.io/@leediay/qloapps-arbitrary-file-read-via-path-traversalnão verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Referências
https://github.com/Qloapps/QloAppshttps://github.com/Qloapps/QloApps/blob/f768898c20c43cb0733a6099e390e5be71631393/controllers/admin/AdminTranslationsController.php#L3038-L3051https://github.com/Qloapps/QloApps/commit/8015495ca746127920fbcde1f9507c024b26a715https://github.com/Qloapps/QloApps/pull/1719https://hackmd.io/@leediay/qloapps-arbitrary-file-read-via-path-traversalhttps://www.vulncheck.com/advisories/qloapps-through-1.7.0-arbitrary-file-read-via-getemailhtml