CVE-2020-24029

---

[Descripción]

Debido a cambios de contraseña no autenticados en ForLogic Qualiex v1 y v3, los permisos y datos de clientes y administradores pueden ser accedidos mediante una simple solicitud.

---

[Fechas Importantes]

• Anuncio (al proveedor): 2020-07-12
• Fecha de divulgación pública: 2020-08-31

---

[Tipo de Vulnerabilidad]

Control de acceso incorrecto

---

[Proveedor del Producto]

ForLogic

---

[Base de Código del Producto Afectado]

• Qualiex - v1
• Qualiex - v3
• Otras versiones pueden verse afectadas, especialmente en la misma familia (aún no probadas)

---

[Componente Afectado]

Qualiex

---

[Tipo de Ataque]

Remoto

---

[Impacto: Escalada de Privilegios]

Verdadero

---

[Impacto: Divulgación de Información]

Verdadero

---

[Vectores de Ataque]

Cambios de contraseña no autenticados disponibles públicamente sin requisitos especiales (solo la solicitud correcta)

---

[¿El proveedor ha confirmado o reconocido la vulnerabilidad?]

Verdadero

---

[Descubridor]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) y Hesron Hori (R&D UnderProtection)

---

[Agradecimientos]

Forlogic - Equipo de Seguridad de la Información del proveedor que colaboró en una divulgación coordinada

---

[Referencia]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24029