CVE-2021-41074CVE-2021-41074是QloApps hotel eCommerce 1.5.1版本中的一个跨站请求伪造（CSRF）漏洞。该漏洞存在于index.php文件中，攻击者可以通过诱骗已登录的管理员访问恶意HTML页面，利用管理员的会话凭证自动执行管理员邮箱修改操作。由于QloApps是一款开源的酒店管理系统，广泛应用于酒店预订和电商场景，该漏洞可能影响大量使用该系统的酒店企业。攻击成功后，攻击者可以接收系统通知邮件，进一步进行密码重置等后续攻击，最终可能完全接管管理员账户，对酒店业务数据和客户隐私造成严重威胁。
该CSRF漏洞源于QloApps hotel eCommerce 1.5.1的index.php文件中缺少有效的CSRF令牌验证机制。攻击者构造一个包含恶意表单的HTML页面，当管理员访问该页面时，浏览器会自动向目标服务器的admin配置接口发送POST请求。由于浏览器会自动携带目标域的Cookie信息，服务器无法区分该请求是来自合法操作还是恶意页面。攻击者将管理员邮箱修改为自己控制的邮箱地址，从而接收系统敏感通知。攻击过程利用了Web应用对用户请求来源验证不足的缺陷，属于典型的CSRF攻击模式。防御措施需要在关键操作点添加随机生成的CSRF Token，并在服务端验证其有效性。