CVE-2025-26354

Nome do Software Vulnerável e Versões Afetadas: Versões do Q-Free MaxTime anteriores a 2.11.0

Descrição: Uma vulnerabilidade de path traversal no arquivo maxtime/api/database/database.lua, especificamente no endpoint copy, permite que um atacante remoto autenticado sobrescreva arquivos sensíveis por meio de requisições HTTP manipuladas. Este problema afeta as versões do Q-Free MaxTime menores ou iguais a 2.11.0.

Recomendações: Para versões anteriores a 2.11.0, atualize para a versão 2.11.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo maxtime/api/database/database.lua e ao endpoint copy para minimizar o risco de exploração. Evite usar o endpoint copy na API afetada até que o problema seja resolvido.