CVE-2025-26341: falha crítica em Q-Free MaxTime
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
28Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 9.8epss 1.1%
Em resumo
Um atacante pode redefinir a senha de qualquer usuário sem estar logado no software Q-Free MaxTime. Isso permite assumir contas e roubar informações sensíveis.
Detalhe técnico
Vulnerabilidade CWE-306 de autenticação ausente em maxprofile/accounts/routes.lua permite que atacantes remotos não autenticados redefinam senhas de usuários arbitrários através de requisições HTTP manipuladas. A função crítica carece de controles de acesso adequados, possibilitando o comprometimento de contas sem credenciais válidas.
Resumo gerado e traduzido por IA a partir da descrição oficial.
A CWE-306 "Missing Authentication for Critical Function" in maxprofile/accounts/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an unauthenticated remote attacker to reset arbitrary user passwords via crafted HTTP requests.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Q-Free · MaxTimeCVEs relacionadas — Q-Free MaxTime
No mesmo produto, das mais perigosas para as menos.