CVE-2025-26342: falha crítica em Q-Free MaxTime
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Uma falha crítica no Q-Free MaxTime permite que qualquer pessoa na internet crie novas contas de usuário, incluindo contas de administrador, sem precisar fazer login. Isso permite que invasores assumam controle total do sistema.
Vulnerabilidade CWE-306 em maxprofile/accounts/routes.lua permite que requisições HTTP não autenticadas executem funções de criação de usuários, possibilitando provisionamento arbitrário de contas com privilégios administrativos. Afeta Q-Free MaxTime ≤2.11.0; exploração requer acesso de rede ao endpoint vulnerável sem barreiras de autenticação.
No mesmo produto, das mais perigosas para as menos.