CVE-2025-26370

Nome do Software Vulnerável e Versões Afetadas: Q-Free MaxTime versões 2.11.0 e anteriores

Descrição: Um problema de falta de autorização em maxprofile/user-groups/routes.lua permite que um atacante autenticado, com baixos privilégios, remova privilégios de grupos de usuários por meio de solicitações HTTP manipuladas.

Recomendações: Para as versões 2.11.0 e anteriores do Q-Free MaxTime, atualize para uma versão posterior à 2.11.0 para resolver o problema. Como medida temporária, considere restringir o acesso ao arquivo maxprofile/user-groups/routes.lua até que um patch esteja disponível. Restrinja usuários com baixos privilégios de enviar solicitações HTTP para rotas sensíveis para minimizar o risco de exploração.