CVE-2020-24028

---

[Descrizione]

ForLogic Qualiex v1 e v3 consentono a qualsiasi cliente autenticato di ottenere un'escalation dei privilegi tramite creazione di utenti, modifiche delle password o aggiornamenti dei permessi utente.

---

[Date importanti]

• Annuncio (al fornitore): 2020-07-12
• Data di divulgazione pubblica: 2020-08-31

---

[Tipo di vulnerabilità]

Permessi non sicuri

---

[Fornitore del prodotto]

ForLogic

---

[Base del codice del prodotto interessato]

• Qualiex - v1
• Qualiex - v3
• Altre versioni potrebbero essere interessate, in particolare nella stessa famiglia (non ancora testate)

---

[Componente interessato]

Qualiex

---

[Tipo di attacco]

Remoto

---

[Impatto Escalation dei privilegi]

Sì

---

[Impatto Divulgazione di informazioni]

Sì

---

[Vettori di attacco]

Il bypass dei permessi da parte di un utente autenticato consente modifiche delle password, creazione di utenti ed escalation dei privilegi nell'aggiornamento delle informazioni utente

---

[Il fornitore ha confermato o riconosciuto la vulnerabilità?]

Sì

---

[Scopritore]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) e Hesron Hori (R&D UnderProtection)

---

[Ringraziamenti]

Forlogic - Il team di sicurezza informatica del fornitore che ha collaborato a una divulgazione coordinata

---

[Riferimenti]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24028