CVE-2020-24028

---

[Descripción]

ForLogic Qualiex v1 y v3 permite a cualquier cliente autenticado lograr una escalada de privilegios mediante la creación de usuarios, cambios de contraseña o actualizaciones de permisos de usuario.

---

[Fechas Importantes]

• Anuncio (al proveedor): 2020-07-12
• Fecha de divulgación pública: 2020-08-31

---

[Tipo de Vulnerabilidad]

Permisos Inseguros

---

[Proveedor del Producto]

ForLogic

---

[Base del Código del Producto Afectado]

• Qualiex - v1
• Qualiex - v3
• Otras versiones pueden verse afectadas, especialmente en la misma familia (aún no probadas)

---

[Componente Afectado]

Qualiex

---

[Tipo de Ataque]

Remoto

---

[Impacto: Escalada de Privilegios]

Sí

---

[Impacto: Divulgación de Información]

Sí

---

[Vectores de Ataque]

La omisión de permisos autenticada permite cambios de contraseña, creación de usuarios y escalada de privilegios en la actualización de información del usuario.

---

[¿El proveedor ha confirmado o reconocido la vulnerabilidad?]

Sí

---

[Descubridor]

Mauricio Santos (I+D UnderProtection), Claudemir Nunes (I+D UnderProtection), Hesron Hori (I+D UnderProtection) y @redteambrasil

---

[Agradecimientos]

Forlogic - Equipo de Seguridad de la Información del proveedor, que colaboró en una divulgación coordinada

---

[Referencia]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24028