CVE-2025-26350: falha de média gravidade em Q-Free MaxTime
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O Q-Free MaxTime permite que usuários autenticados enviem arquivos maliciosos sem restrições adequadas, podendo levar à execução de código ou comprometimento do sistema. A aplicação não valida corretamente o tipo de arquivo durante o envio de templates.
Vulnerabilidade CWE-434 de upload irrestrito de arquivo no Q-Free MaxTime ≤2.11.0 na funcionalidade de upload de templates permite que atacantes autenticados contornem validação de tipo de arquivo através de requisições HTTP manipuladas, possibilitando upload arbitrário de arquivo e potencial execução remota de código.
No mesmo produto, das mais perigosas para as menos.