CVE-2025-26353: fallo de gravedad media en Q-Free MaxTime
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un usuario autenticado puede engañar a la aplicación MaxTime para leer archivos fuera del directorio permitido, manipulando rutas en solicitudes HTTP. Esto permite acceder a información sensible que no debería ser accesible.
Vulnerabilidad de path traversal (CWE-35) en maxtime/api/sql/sql.lua (Q-Free MaxTime ≤2.11.0) permite que atacantes autenticados lean archivos arbitrarios mediante solicitudes HTTP manipuladas. El ataque requiere autenticación previa y resulta en divulgación de datos sensibles a través de secuencias de traversal de directorios.
En el mismo producto, de las más peligrosas a las menos.