CVE-2020-24030

---

[Описание]

ForLogic Qualiex v1 и v3 имеют слабый срок действия токена. Это позволяет удалённо неаутентифицированному злоумышленнику повышать привилегии и получать доступ к чувствительным данным через повторное использование токена.

---

[Важные даты]

• Объявление (поставщику): 2020-07-12
• Дата публичного раскрытия: 2020-08-31

---

[Тип уязвимости]

Некорректный контроль доступа

---

[Поставщик продукта]

ForLogic

---

[Затронутая кодовая база продукта]

• Qualiex - v1
• Qualiex - v3
• Другие версии могут быть затронуты, особенно в том же семействе (пока не протестировано)

---

[Затронутый компонент]

Qualiex

---

[Тип атаки]

Удалённая

---

[Влияние на повышение привилегий]

True

---

[Влияние на раскрытие информации]

True

---

[Векторы атаки]

Слабый срок действия токена авторизации допускает его повторное использование для получения привилегий и доступа к чувствительным данным

---

[Подтвердил ли или признал ли поставщик уязвимость?]

True

---

[Исследователи]

Mauricio Santos (R&D UnderProtection), Claudemir Nunes (R&D UnderProtection) и Hesron Hori (R&D UnderProtection)

---

[Благодарности]

Forlogic — команда информационной безопасности поставщика, которая сотрудничала в скоординированном раскрытии

---

[Ссылка]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24030