CVE-2025-26355: falha de média gravidade em Q-Free MaxTime
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Um atacante autenticado pode deletar arquivos importantes em um servidor Q-Free MaxTime usando requisições especialmente preparadas que burlam restrições de diretório. Isso é perigoso porque pode causar perda de dados ou interrupção do sistema.
Uma vulnerabilidade de path traversal (CWE-35) em maxtime/api/database/database.lua permite que atacantes remotos autenticados acessem e deletem arquivos fora do diretório previsto através de requisições HTTP manipuladas. A vulnerabilidade requer credenciais de autenticação válidas e afeta Q-Free MaxTime versão 2.11.0 e anteriores, com impacto potencial na disponibilidade do sistema e integridade dos dados.
No mesmo produto, das mais perigosas para as menos.