CVE-2020-24028

---

[描述]

ForLogic Qualiex v1 和 v3 允许任何经过身份验证的客户通过创建用户、更改密码或更新用户权限来实现权限提升。

---

[重要日期]

• 通知供应商：2020-07-12
• 公开披露日期：2020-08-31

---

[漏洞类型]

不安全的权限配置

---

[供应商]

ForLogic

---

[受影响的产品代码库]

• Qualiex - v1
• Qualiex - v3
• 同一系列的其他版本也可能受影响（尚未测试）

---

[受影响组件]

Qualiex

---

[攻击类型]

远程

---

[影响权限提升]

是

---

[影响信息泄露]

是

---

[攻击向量]

经过身份验证的权限绕过允许更改密码、创建用户以及在用户信息更新时提升权限。

---

[供应商是否已确认或承认此漏洞？]

是

---

[发现者]

Mauricio Santos (UnderProtection 研发部), Claudemir Nunes (UnderProtection 研发部) 以及 Hesron Hori (UnderProtection 研发部)

---

[致谢]

Forlogic 公司的信息安全团队，感谢他们在协调披露过程中的合作。

---

[参考]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24028