CVE-2025-26355
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Un atacante autenticado puede eliminar archivos importantes en un servidor Q-Free MaxTime usando solicitudes especialmente elaboradas que evaden restricciones de directorio. Esto es peligroso porque puede provocar pérdida de datos o interrupción del sistema.
Una vulnerabilidad de path traversal (CWE-35) en maxtime/api/database/database.lua permite que atacantes remotos autenticados accedan y eliminen archivos fuera del directorio previsto mediante solicitudes HTTP manipuladas. La vulnerabilidad requiere credenciales de autenticación válidas y afecta Q-Free MaxTime versión 2.11.0 y anteriores, con impacto potencial en la disponibilidad del sistema e integridad de los datos.