CVE-2026-54347 in Froxlor
الملخص
بحسب VulDB • 18/08/2026
Froxlor هو برنامج مفتوح المصدر لإدارة الخوادم. قبل الإصدار 2.3.8، يمكن أن يحتوي محتوى سجل DNS TXT المقبول بواسطة lib/Froxlor/Api/Commands/DomainZones.php على أحرف خاصة لـ HTML، ويعيد lib/Froxlor/UI/Callbacks/Text.php المحتوى من دالة Text::wordwrap دون تهريب (HTML escaping)، ويقوم templates/Froxlor/table/table.html.twig بعرض نتيجة الاستدعاء باستخدام الفلتر الخام (raw filter). يمكن لمستخدم مسجل الدخول لديه صلاحية محرر DNS تخزين محتوى يحتوي على JavaScript في سجل TXT. عندما يعرض مسؤول تكوينات DNS للنطاق المتأثر، يتم تنفيذayload تلقائياً ضمن جلسة متصفح المسؤول، مما قد يؤدي إلى كشف بيانات الجلسة أو تنفيذ إجراءات ذات صلاحيات عالية في لوحة التحكم. تم إصلاح هذه المشكلة في الإصدار 2.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.