CVE-2020-24028

---

[Description]

ForLogic Qualiex v1 et v3 permet à tout client authentifié d'atteindre une escalade de privilèges via la création d'utilisateurs, les changements de mot de passe ou les mises à jour de permissions utilisateur.

---

[Important Dates]

• Annonce (au fournisseur) : 2020-07-12
• Date de divulgation publique : 2020-08-31

---

[Vulnerability Type]

Permissions non sécurisées

---

[Vendor of Product]

ForLogic

---

[Affected Product Code Base]

• Qualiex - v1
• Qualiex - v3
• D'autres versions peuvent être concernées, notamment dans la même famille (pas encore testées)

---

[Affected Component]

Qualiex

---

[Attack Type]

À distance

---

[Impact Escalation of Privileges]

Vrai

---

[Impact Information Disclosure]

Vrai

---

[Attack Vectors]

Le contournement des permissions authentifiées permet les changements de mot de passe, la création d'utilisateurs et l'escalade de privilèges lors de la mise à jour des informations utilisateur.

---

[Has vendor confirmed or acknowledged the vulnerability?]

Vrai

---

[Discoverer]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) et Hesron Hori (R&D UnderProtection)

---

[Thanks to]

Forlogic - Équipe de sécurité informatique du fournisseur qui a collaboré à une divulgation coordonnée.

---

[Reference]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24028