PT-2025-7163
CVE-2025-26374
·
تاريخ النشر
2025-02-12
·
تاريخ التحديث
2025-03-03
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
الإصدارات 2.11.0 وما قبلها من برنامج Q-Free MaxTime
الوصف:
ثغرة في التفويض في الملف
maxprofile/users/routes.lua، وتحديدًا في ”نقطة نهاية المستخدمين“، تسمح لمهاجم معتمد يتمتع بامتيازات منخفضة بإجراء تعداد للمستخدمين عن طريق إرسال طلبات HTTP مُعدلة إلى نقطة النهاية /users. يمكن استغلال المتغير username للحصول على وصول غير مصرح به إلى معلومات المستخدمين.التوصيات:
بالنسبة للإصدارات 2.11.0 والإصدارات الأقدم من Q-Free MaxTime، يُنصح بتعطيل نقطة النهاية
users حتى يتوفر تصحيح لمنع حصر المستخدمين. قم بتقييد الوصول إلى الملف maxprofile/users/routes.lua لتقليل مخاطر الاستغلال. تجنب استخدام المتغير username في نقطة النهاية المتأثرة حتى يتم حل المشكلة. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾