CVE-2020-24030

---

[描述]

ForLogic Qualiex v1 和 v3 存在弱的令牌过期机制。这使得远程未授权攻击者能够通过令牌重用进行权限提升并访问敏感数据。

---

[重要日期]

• 通知供应商日期：2020-07-12
• 公开披露日期：2020-08-31

---

[漏洞类型]

不正确的访问控制

---

[产品供应商]

ForLogic

---

[受影响的产品代码库]

• Qualiex - v1
• Qualiex - v3
• 同一系列的其他版本可能受影响（尚未测试）

---

[受影响组件]

Qualiex

---

[攻击类型]

远程

---

[权限提升影响]

是

---

[信息泄露影响]

是

---

[攻击向量]

授权令牌过期机制薄弱，允许重用令牌以获取权限并访问敏感数据

---

[供应商是否确认或承认该漏洞？]

是

---

[发现者]

Mauricio Santos (R&D UnderProtection)、Claudemir Nunes (R&D UnderProtection) 和 Hesron Hori (R&D UnderProtection)

---

[致谢]

Forlogic（供应商信息安全团队）配合进行了协调披露

---

[参考资料]

• https://www.underprotection.com.br
• https://forlogic.net
• https://qualiex.com
• https://github.com/underprotection/CVE-2020-24030