CVE-2020-24029

---

[Description]

En raison de modifications de mot de passe non authentifiées dans ForLogic Qualiex v1 et v3, les permissions et les données des clients et des administrateurs peuvent être consultées via une simple requête.

---

[Dates importantes]

• Annonce (au fournisseur) : 2020-07-12
• Date de divulgation publique : 2020-08-31

---

[Type de vulnérabilité]

Contrôle d'accès incorrect

---

[Fournisseur du produit]

ForLogic

---

[Code de base du produit concerné]

• Qualiex - v1
• Qualiex - v3
• D'autres versions peuvent être concernées, en particulier dans la même famille (non testées encore)

---

[Composant concerné]

Qualiex

---

[Type d'attaque]

À distance

---

[Escalade de privilèges]

Vrai

---

[Divulgation d'informations]

Vrai

---

[Vecteurs d'attaque]

Modifications de mot de passe non authentifiées accessibles publiquement sans exigences particulières (seulement la requête correcte)

---

[Le fournisseur a-t-il confirmé ou reconnu la vulnérabilité ?]

Vrai

---

[Découvreur]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) et Hesron Hori (R&D UnderProtection)

---

[Remerciements]

Forlogic - Équipe de sécurité de l'information du fournisseur qui a collaboré à une divulgation coordonnée

---

[Référence]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24029