Veille sécuritéFrontend
P4Moyenne
QloApps jusqu’à 1.7.0 présente une XSS réfléchie dans le formulaire AdminHotelFeaturePricesSettings. Après l’échec de validation, les valeurs `feature_price_name` et `impact_value` sont réaffichées sans échappement et peuvent exécuter du JavaScript dans la session d’un utilisateur authentifié du back-office.
JavaScript
IdentifiantCVE-2026-110221
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-110221
Analyse technique
Un utilisateur peut être amené à soumettre une requête préparée, notamment via un lien malveillant ou un formulaire soumis automatiquement.
Impact, versions et correctif
Événement datéFiche CVE publiée par NVD le 2026-10-13; événement retenu : publication de la vulnérabilité dans la période.
ImpactExécution de JavaScript dans la session d’un utilisateur authentifié du back-office.
Versions affectéesQloApps jusqu’à la version 1.7.0 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.1
Publication2026-10-13T19:18:46.563Z
Mise à jour2026-10-13T20:17:27.867Z
Action recommandée
Vérifier la disponibilité d’un correctif QloApps et limiter l’accès au back-office aux utilisateurs de confiance.
Sources
Priorisation DFS : P4 · 1 source(s).