CVE-2025-26349: fallo de gravedad alta en Q-Free MaxTime
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Una función de carga de archivos en Q-Free MaxTime permite que usuarios autenticados carguen archivos en ubicaciones no previstas usando trucos de ruta (como secuencias ../), pudiendo sobrescribir archivos importantes del sistema.
Vulnerabilidad CWE-23 de Traversal de Ruta Relativa en el mecanismo de carga de archivos de Q-Free MaxTime ≤2.11.0 permite que atacantes autenticados manipulen rutas de archivo mediante solicitudes HTTP elaboradas, posibilitando la sobrescritura arbitraria de archivos. El ataque requiere credenciales válidas pero elude restricciones de directorio.
En el mismo producto, de las más peligrosas a las menos.