CVE-2020-24029

---

[Description]

En raison de modifications de mot de passe non authentifiées dans ForLogic Qualiex v1 et v3, les autorisations et les données des clients et des administrateurs peuvent être consultées via une simple requête.

---

[Dates importantes]

• Annonce (au fournisseur) : 2020-07-12
• Date de divulgation publique : 2020-08-31

---

[Type de vulnérabilité]

Contrôle d'accès incorrect

---

[Fournisseur du produit]

ForLogic

---

[Base de code du produit affecté]

• Qualiex - v1
• Qualiex - v3
• D'autres versions peuvent être affectées, en particulier dans la même famille (pas encore testées)

---

[Composant affecté]

Qualiex

---

[Type d'attaque]

À distance

---

[Impact : élévation de privilèges]

Vrai

---

[Impact : divulgation d'informations]

Vrai

---

[Vecteurs d'attaque]

Modifications de mot de passe non authentifiées disponibles publiquement sans exigences particulières (seulement la requête correcte)

---

[Le fournisseur a-t-il confirmé ou reconnu la vulnérabilité ?]

Vrai

---

[Découvreur]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) et Hesron Hori (R&D UnderProtection)

---

[Remerciements]

Forlogic - Équipe de sécurité de l'information du fournisseur qui a collaboré à une divulgation coordonnée

---

[Références]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24029