CVE-2020-24028

---

[説明]

ForLogic Qualiex v1 および v3 では、認証された任意の顧客が、ユーザー作成、パスワード変更、またはユーザー権限の更新を通じて権限昇格を達成できます。

---

[重要日付]

• （ベンダーへの）通知日: 2020-07-12
• 公開開示日: 2020-08-31

---

[脆弱性の種類]

安全でない権限設定

---

[製品ベンダー]

ForLogic

---

[影響を受ける製品コードベース]

• Qualiex - v1
• Qualiex - v3
• 他のバージョンも影響を受ける可能性があります（特に同じファミリー内のバージョン。未テスト）

---

[影響を受けるコンポーネント]

Qualiex

---

[攻撃種別]

リモート

---

[権限昇格の影響]

True

---

[情報漏えいの影響]

True

---

[攻撃ベクトル]

認証済みユーザーの権限バイパスにより、パスワード変更、ユーザー作成、およびユーザー情報更新時の権限昇格が可能になります

---

[ベンダーは脆弱性を確認または認識していますか？]

True

---

[発見者]

Mauricio Santos (R&D UnderProtection)、Claudemir Nunes (R&D UnderProtection)、および Hesron Hori (R&D UnderProtection)

---

[謝辞]

Forlogic - 調整された開示に協力したベンダーの情報セキュリティチーム

---

[参照]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24028