Veille sécuritéFrontend
P4Moyenne
QloApps jusqu’à 1.7.0 contient une XSS réfléchie dans le formulaire d’ajout de facilités du back-office. La valeur `price`, réaffichée sans échappement après un échec de validation, peut exécuter du JavaScript dans la session d’un utilisateur authentifié qui soumet une requête préparée.
JavaScript
IdentifiantCVE-2026-110219
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110219
Analyse technique
Le paramètre concerné est `price` dans le formulaire de back-office Additional Facilities; sa valeur est réaffichée sans échappement après le rejet de la validation.
Impact, versions et correctif
Événement datéFiche CVE publiée par NVD le 2026-10-13; événement retenu : publication de la vulnérabilité dans la période.
ImpactExécution de JavaScript dans la session d’un utilisateur authentifié du back-office.
Versions affectéesQloApps jusqu’à la version 1.7.0 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-13T19:18:46.250Z
Mise à jour2026-10-13T20:17:27.740Z
Action recommandée
Vérifier la disponibilité d’un correctif QloApps et limiter l’accès au back-office aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).