CVE-2020-24029

---

[描述]

由于 ForLogic Qualiex v1 和 v3 中存在未经身份验证的密码更改，攻击者可通过一个简单的请求访问客户和管理员权限及数据。

---

[重要日期]

• 公告（致供应商）：2020-07-12
• 公开披露日期：2020-08-31

---

[漏洞类型]

访问控制不当

---

[产品供应商]

ForLogic

---

[受影响产品代码库]

• Qualiex - v1
• Qualiex - v3
• 其他版本也可能受影响，尤其是同一系列中的版本（尚未测试）

---

[受影响组件]

Qualiex

---

[攻击类型]

远程

---

[影响：权限提升]

是

---

[影响：信息泄露]

是

---

[攻击向量]

未经身份验证的密码更改公开可用，无需特殊要求（只需正确的请求）

---

[供应商是否已确认或承认该漏洞？]

是

---

[发现者]

Mauricio Santos（UnderProtection 研发部）、Claudemir Nunes（UnderProtection 研发部）和 Hesron Hori（UnderProtection 研发部）

---

[致谢]

Forlogic - 供应商的信息安全团队，配合进行了协调披露

---

[参考资料]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24029