Към съдържанието
Търсене

CVE-2026-25861: QloApps, слаба криптография

8.2

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

QloApps through 1.7.0, fixed in commit 64e9722, contains a weak cryptographic algorithm vulnerability that allows attackers to compromise user credentials by exploiting the use of MD5 for password hashing in the Tools::encrypt() function within classes/Tools.php, which concatenates a static cookie key with the supplied password. Attackers can perform offline brute-force attacks against the MD5 hashes, with the risk compounded by auto-generated 8-character passwords assigned during guest-to-customer account conversion in classes/Customer.php, making credential recovery trivial.

Засегнати продукти

  • QloApps QloApps: до 1.7.0; 64e9722e7e6a8fda77dd53964d988fb6b5c3d174

Вид слабост

История

  • 2 юни 2026 Публикувано

Други уязвимости в QloApps QloApps

Първоизточници

CVE-2026-25861: QloApps, слаба криптография | freedomonline.bg