PT-2025-38648 · Webkul · Qloapps

CVE-2025-10759 · Publicado 2025-09-21 · Atualizado 2025-10-30

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.5

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Webkul QloApps versões até a 1.7.0

Descrição Existe uma falha no componente Manipulador de Token CSRF do Webkul QloApps. A manipulação do argumento token dentro de uma função desconhecida pode levar a um bypass de autorização. Este problema pode ser explorado remotamente. O exploit está publicamente disponível.

Recomendações Versões anteriores à próxima versão principal são afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Authorization

IDOR

CSRF

Enumeração de Fraquezas

CWE-285

CWE-639

CWE-352

Identificadores relacionados

CVE-2025-10759

Produtos afetados

Qloapps

Referências · 10

• 🔥 https://github.com/Ryomensukuna13/QloApps-Reusable-CSRF-Token-in-Logout-Functionality/blob/main/README.md · Exploit
• 🔥 https://github.com/Ryomensukuna13/QloApps-Reusable-CSRF-Token-in-Logout-Functionality/blob/main/README.md#proof-of-concept-poc · Exploit
• https://osv.dev/vulnerability/CVE-2025-10759 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-10759 · Nota de Segurança
• https://t.me/CVEtracker/33002 · Publicação no Telegram
• https://vuldb.com/?id.325114 · Nota
• https://t.me/cveNotify/140945 · Publicação no Telegram
• https://vuldb.com/?submit.645821 · Nota
• https://twitter.com/CVEnew/status/1969617019462173162 · Publicação no Twitter
• https://vuldb.com/?ctiid.325114 · Nota