🇰🇷 한글 설명
QloApps 1.7.0 버전에서 AdminHotelRoomsBookingController::postProcess() 함수 내 권한 우회 취약점이 발견되었습니다. 제한된 권한을 가진 백오피스 직원이 id_hotel 파라미터를 조작하여 자신에게 할당되지 않은 다른 호텔의 데이터에 접근할 수 있습니다. 공격자는 URL 파라미터를 수정함으로써 다른 호텔의 객실 예약 가능 여부 및 예약 상태를 조회할 수 있습니다.
💡 쉬운 설명
권한이 낮은 직원이 주소창의 숫자 하나만 바꿔서 다른 호텔의 예약 정보를 몰래 훔쳐볼 수 있는 문제입니다. 관리자가 허용한 범위 밖의 정보를 마음대로 조회할 수 있어 보안 위험이 있습니다.
🇺🇸 원문 (English)
QloApps through 1.7.0 contains an authorization bypass vulnerability in AdminHotelRoomsBookingController::postProcess() that allows restricted back-office employees to access other hotels' data by supplying an id_hotel parameter. Attackers can modify the id_hotel URL parameter on the Book Now page to view room availability and booking status of hotels outside their assigned profile access.
📍 영향받는 시스템
QloApps 1.7.0 이하 버전
⚔️ 공격 벡터
URL의 id_hotel 파라미터 값을 조작하여 권한이 없는 호텔의 ID로 변경
🛡️ 대응 방법
해당 취약점이 해결된 최신 버전으로 업데이트하거나, 파라미터 입력값에 대한 서버 측 권한 검증 로직을 추가
🔧 검증 코드
명령어 결과로 해당 컨트롤러 함수가 존재한다면 취약한 코드가 포함되어 있을 가능성이 높으므로 버전 확인이 필요합니다.
grep -r "AdminHotelRoomsBookingController::postProcess" /path/to/qloapps/controllers/admin/ 2>/dev/null