CVE-2026-100718 in Froxlor
الملخص
بحسب VulDB • 26/09/2026
لا يفرض Froxlor حتى الإصدار 2.3.10 سياسة `mail.allow_external_domains` في أمر API الخاص بـ `EmailSender.add`. عندما يقوم مسؤول النظام بتفعيل ميزة "المرسل المسموح به" (`allowed-sender`) ولكن يعطل النطاقات الخارجية المسموحة (حيث تكون `mail.enable_allow_sender = 1` و `mail.allow_external_domains = 0`)، يمكن لعميل مُصادَق عليه يمتلك وصولاً إلى API استخدام `EmailSender.add` لتسجيل عنوان مرسل خارجي تعسفي لحسابه البريدي، ويتم تخزين هذا العنوان على الرغم من السياسة. يخلق هذا ثغرة (bypass) بين واجهة المستخدم/تكوين المسؤول وواجهة برمجة التطبيقات (API)، وهو ما يسمح — في الحالات التي يستهلك فيها تكوين البريد المُولَّد جدول "المرسلين المسموح بهم" (`allowed-sender`) — للعميل بتفويض هويات مرسلي رسائل خارج نطاقات النطاقات المستضافة لديه، مما يسهل انتحال شخصية المرسل (sender spoofing). تم الإصلاح في الإصدار 2.3.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.