CVE-2025-26344

Q-Free MaxTime: brak uwierzytelnienia umożliwia włączenie trybu gościa bez hasła

CVSS 9.8v3.1pub. 2025-02-12upd. 2025-10-24

Podatność CWE-306 (Missing Authentication for Critical Function) w oprogramowaniu Q-Free MaxTime w wersji 2.11.0 i wcześniejszych pozwala nieuwierzytelnionemu atakującemu zdalnie włączyć tryb gościa bez hasła. Jest to krytyczna luka umożliwiająca nieautoryzowany dostęp do systemu bez żadnych danych uwierzytelniających.

▸ Pokaż oryginał (EN)

A CWE-306 "Missing Authentication for Critical Function" in maxprofile/guest-mode/routes.lua in Q-Free MaxTime less than or equal to version 2.11.0 allows an unauthenticated remote attacker to enable passwordless guest mode via crafted HTTP requests.

🤖 Analiza AI

Jak działa

Luka znajduje się w pliku maxprofile/guest-mode/routes.lua i wynika z braku mechanizmu uwierzytelnienia dla krytycznej funkcji zarządzania trybem gościa. Atakujący wysyła odpowiednio spreparowane żądania HTTP do podatnego endpointu, omijając w ten sposób wszelkie kontrole dostępu. W wyniku tego możliwe jest aktywowanie trybu gościa bez hasła bez posiadania jakichkolwiek uprawnień w systemie.

Skutki

Nieuwierzytelniony zdalny atakujący może przejąć kontrolę nad funkcją trybu gościa systemu, co prowadzi do nieautoryzowanego dostępu do zasobów chronionych tym mechanizmem, a także potencjalnie do naruszenia poufności, integralności i dostępności systemu (ocena CVSS wskazuje na pełne skompromitowanie wszystkich trzech obszarów).

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się aktualizację do wersji wyższej niż 2.11.0 oraz ograniczenie dostępu sieciowego do interfejsu zarządzania systemu Q-Free MaxTime wyłącznie do zaufanych hostów.