脆弱性概要 本ウェブサイトスクリーンショットは、QloApps 1.7.0 バージョンに存在する複数のセキュリティ脆弱性について説明しています。これらには、反射型クロスサイトスクリプティング（XSS）脆弱性、認可バイパス脆弱性、およびホテルアクセス制限の欠如に関する脆弱性が含まれます。 影響範囲 反射型XSS脆弱性： - CVE-2026-110219：「Additional Facility Price Field」フィールドを介してトリガーされます。 - CVE-2026-110221：「Advanced Price Rule Name」および「Impact Value」フィールドを介してトリガーされます。 - CVE-2026-110224：「Search Alias Validation Errors」フィールドを介してトリガーされます。 - 影響：攻撃者は認証済みユーザーを悪意のあるリンクへのクリックや、構成されたPOSTリクエストの送信に誘導することで、任意のJavaScriptコードを実行し、管理者データを取得して操作を実行できます。 認可バイパス脆弱性： - CVE-2026-110226：ルームタイプ作成時に、 フィールドを介して認可制限を回避します。 - 影響：製品管理権限を持つ従業員は、自身の権限範囲を超えるホテルでルームタイプを作成でき、他ホテルの在庫を偽造または破壊し、すべてのホテルを列挙することができます。 ホテルアクセス制限の欠如： - CVE-2026-110229：クレジット票据においてホテルアクセス制限が不足しています。 - 影響：従業員はすべてのホテルのクレジット票据を列挙でき、他ホテルの返金記録を含むPDFをダウンロードし、他ホテルの票据のリデemption状態を変更し、ストアクレジット票据を生成することができます。 修正対策 反射型XSS脆弱性： - 入力フィールドに対して適切な検証およびエスケープを適用し、悪意のあるスクリプトの注入を防ぎます。 認可バイパス脆弱性： - ルームタイプ作成時に、 フィールドの値が従業員の認可範囲と一致することを確保し、サーバー側で厳格なアクセス制御チェックを実施します。 ホテルアクセス制限の欠如： - クレジット票据のクエリおよびエクスポートプロセスにホテルアクセス制限を追加し、従業員が認可範囲内のホテルデータのみアクセスできるようにします。 POCコード CVE-2026-110219 CVE-2026-110221 CVE-2026-110224 CVE-2026-110226 CVE-2026-110229