CVE-2025-26341

Q-Free MaxTime: resetowanie haseł bez uwierzytelnienia (CWE-306)

CVSS 9.8v3.1pub. 2025-02-12upd. 2025-10-24

Podatność w systemie Q-Free MaxTime (wersje ≤ 2.11.0) umożliwia nieuwierzytelnionemu atakującemu zdalne zresetowanie hasła dowolnego użytkownika. Luka jest krytyczna, ponieważ nie wymaga żadnych uprawnień ani interakcji ze strony ofiary.

▸ Pokaż oryginał (EN)

A CWE-306 "Missing Authentication for Critical Function" in maxprofile/accounts/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an unauthenticated remote attacker to reset arbitrary user passwords via crafted HTTP requests.

🤖 Analiza AI

Jak działa

W pliku maxprofile/accounts/routes.lua brakuje mechanizmu uwierzytelnienia dla funkcji krytycznej (CWE-306), co oznacza, że endpoint odpowiedzialny za resetowanie haseł jest dostępny bez żadnej autoryzacji. Atakujący może wysłać odpowiednio spreparowane żądania HTTP do podatnego endpointu i wymusić zmianę hasła wybranego konta użytkownika. Dzięki temu uzyskuje pełną kontrolę nad dowolnym kontem w systemie.

Skutki

Atakujący może przejąć kontrolę nad dowolnym kontem użytkownika w systemie, w tym kontami administracyjnymi, co prowadzi do pełnego naruszenia poufności, integralności i dostępności danych oraz funkcji systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje dostępne są w poradniku Nozomi Networks: https://www.nozominetworks.com/labs/vulnerability-advisories-cve-2025-26341. Do czasu wdrożenia aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzania systemu Q-Free MaxTime wyłącznie do zaufanych adresów IP.