CVE-2020-24028

---

[Descripción]

ForLogic Qualiex v1 y v3 permite a cualquier cliente autenticado lograr una escalada de privilegios mediante la creación de usuarios, cambios de contraseña o actualizaciones de permisos de usuario.

---

[Fechas importantes]

• Anuncio (al proveedor): 2020-07-12
• Fecha de divulgación pública: 2020-08-31

---

[Tipo de vulnerabilidad]

Permisos inseguros

---

[Proveedor del producto]

ForLogic

---

[Base de código del producto afectado]

• Qualiex - v1
• Qualiex - v3
• Otras versiones pueden verse afectadas, especialmente las de la misma familia (aún no probadas)

---

[Componente afectado]

Qualiex

---

[Tipo de ataque]

Remoto

---

[Impacto: escalada de privilegios]

Verdadero

---

[Impacto: divulgación de información]

Verdadero

---

[Vectores de ataque]

La elusión de permisos autenticada permite cambios de contraseña, creación de usuarios y escalada de privilegios en la actualización de la información del usuario

---

[¿El proveedor ha confirmado o reconocido la vulnerabilidad?]

Verdadero

---

[Descubridor]

Mauricio Santos (I+D UnderProtection), Claudemir Nunes (I+D UnderProtection) y Hesron Hori (I+D UnderProtection)

---

[Agradecimientos]

Forlogic: equipo de Seguridad de la Información del proveedor, que colaboró en una divulgación coordinada

---

[Referencia]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24028