CVE-2025-26352: fallo de gravedad media en Q-Free MaxTime
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un usuario autenticado puede eliminar archivos sensibles del sistema Q-Free MaxTime enviando solicitudes especiales que atraviesan directorios. Esto permite que atacantes con acceso de login eliminen archivos críticos del sistema.
Una vulnerabilidad de traversal de ruta (CWE-35) en el mecanismo de eliminación de plantillas de Q-Free MaxTime ≤2.11.0 permite que atacantes remotos autenticados eliminen archivos arbitrarios manipulando parámetros de ruta de archivo en solicitudes HTTP. La vulnerabilidad requiere credenciales válidas e impacta la integridad y disponibilidad del sistema.
En el mismo producto, de las más peligrosas a las menos.