CVE-2025-26342: fallo crítico en Q-Free MaxTime
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un fallo crítico en Q-Free MaxTime permite que cualquier persona en internet cree nuevas cuentas de usuario, incluyendo cuentas de administrador, sin necesidad de iniciar sesión. Esto permite que atacantes tomen control total del sistema.
Vulnerabilidad CWE-306 en maxprofile/accounts/routes.lua permite que solicitudes HTTP no autenticadas ejecuten funciones de creación de usuarios, habilitando aprovisionamiento arbitrario de cuentas con privilegios administrativos. Afecta Q-Free MaxTime ≤2.11.0; la explotación requiere acceso de red al endpoint vulnerable sin barreras de autenticación.
En el mismo producto, de las más peligrosas a las menos.