PT-2026-47296 · Qloapps · Qloapps

Vulncheck · Publicado 2026-06-08 · Atualizado 2026-06-08 · CVE-2026-25558

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas QloApps versões anteriores a 1.7.1

Description Um problema de cross-site scripting armazenado existe no gerenciador de arquivos do administrador. Administradores autenticados podem injetar JavaScript malicioso ao fazer o upload de arquivos SVG especialmente criados. Ao incorporar manipuladores de eventos JavaScript, como onload, nesses arquivos, scripts arbitrários podem ser executados no navegador de qualquer usuário que visualize o arquivo carregado.

Recommendations Atualize para uma versão posterior a 1.7.0. Como mitigação temporária, restrinja a capacidade de fazer upload de arquivos SVG através do gerenciador de arquivos do administrador.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-25558

Produtos afetados

Qloapps

Referências · 4

• 🔥 https://github.com/Qloapps/QloApps/issues/1728 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2026-25558 · Nota de Segurança
• https://vulncheck.com/advisories/qloapps-stored-xss-via-svg-file-upload-in-admin-file-manager · Nota
• https://t.me/CVEtracker/56176 · Publicação no Telegram