CVE-2020-24029

---

[Descripción]

Debido a cambios de contraseña no autenticados en ForLogic Qualiex v1 y v3, los permisos y datos de clientes y administradores pueden ser accedidos mediante una simple solicitud.

---

[Fechas importantes]

• Anuncio (al proveedor): 2020-07-12
• Fecha de divulgación pública: 2020-08-31

---

[Tipo de vulnerabilidad]

Control de acceso incorrecto

---

[Proveedor del producto]

ForLogic

---

[Base de código del producto afectado]

• Qualiex - v1
• Qualiex - v3
• Otras versiones pueden verse afectadas, especialmente en la misma familia (aún no probadas)

---

[Componente afectado]

Qualiex

---

[Tipo de ataque]

Remoto

---

[Escalada de privilegios por impacto]

Verdadero

---

[Divulgación de información por impacto]

Verdadero

---

[Vectores de ataque]

Cambios de contraseña no autenticados disponibles públicamente sin requisitos especiales (solo la solicitud correcta)

---

[¿El proveedor ha confirmado o reconocido la vulnerabilidad?]

Verdadero

---

[Descubridor]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) y Hesron Hori (R&D UnderProtection)

---

[Agradecimientos]

Forlogic: el equipo de seguridad de la información del proveedor, que colaboró en una divulgación coordinada

---

[Referencia]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24029