CVE-2025-26345

Podatność znajduje się w pliku maxprofile/menu/routes.lua obsługującym routing żądań HTTP. Funkcja odpowiedzialna za edycję uprawnień grup użytkowników nie wymaga żadnego uwierzytelnienia przed jej wykonaniem. Atakujący może wysyłać spreparowane żądania HTTP bezpośrednio do podatnego endpointu, omijając całkowicie mechanizmy kontroli dostępu i modyfikując uprawnienia dowolnych grup użytkowników.

Nieuwierzytelniony atakujący zdalny może dowolnie modyfikować uprawnienia grup użytkowników w systemie, co może prowadzić do eskalacji uprawnień, nieautoryzowanego dostępu do chronionych zasobów oraz pełnej kompromitacji poufności, integralności i dostępności systemu.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzania Q-Free MaxTime wyłącznie do zaufanych hostów oraz monitorowanie ruchu HTTP do podatnych endpointów do czasu wdrożenia aktualizacji.

Q-Free MaxTime w wersji 2.11.0 oraz wszystkich wcześniejszych wersjach.

Podatność została opisana przez Nozomi Networks Labs w ramach ich programu ujawniania podatności (advisory dostępny pod adresem nozominetworks.com).