CVE-2025-26354

Um usuário autenticado pode contornar restrições de acesso a arquivos no Q-Free MaxTime e sobrescrever arquivos importantes usando requisições especialmente construídas. Isso permite que invasores com acesso de login danifiquem ou manipulem arquivos do sistema.

Vulnerabilidade de travessia de diretório (path traversal) no endpoint de cópia do arquivo maxtime/api/database/database.lua permite que invasores autenticados escapem das restrições de diretório e sobrescrevam arquivos arbitrários. A vulnerabilidade requer credenciais de autenticação válidas e permite manipulação do sistema de arquivos através de requisições HTTP construídas, impactando confidencialidade e integridade de recursos protegidos.