CVE-2026-54348 in Froxlor
الملخص
بحسب VulDB • 19/08/2026
Froxlor هو برنامج مفتوح المصدر لإدارة الخوادم. قبل الإصدار 2.3.8، تقبل نقاط النهاية `Admins.add` و `Admins.update` في الملف `lib/Froxlor/Api/Commands/Admins.php` مصفوفة `ipaddress` يتحكم فيها المهاجم وتخزنها كـ JSON في الحقل `panel_admins.ip` دون فرض أنواع عناصر رقمية. عند استدعاء نقطة النهاية `IpsAndPorts.listing` لاحقاً بواسطة الحساب المسموم، يقوم الملف `lib/Froxlor/Api/Commands/IpsAndPorts.php` بفك تشفير المصفوفة ودمج عناصرها في جملة SQL IN دون استخدام التحويل الصريح (casting) أو المعاملات المحضرة (parameterization); ونفس النمط غير الآمن موجود أيضاً في الملف `lib/Froxlor/Api/Commands/Domains.php`. يمكن لمدير مسجل لديه إذن `change_serversettings` تخزين حمولة قائمة على UNION وتفعيلها من خلال الحساب المسموم لاسترجاع بيانات قاعدة البيانات بشكل تعسفي، بما في ذلك أسماء تسجيل الدخول للمسؤولين ورموز التجزئة لكلمات المرور باستخدام خوارزمية bcrypt، مع احتمال تصعيد الامتيازات وتأثير أوسع على قاعدة البيانات. تم إصلاح هذه المشكلة في الإصدار 2.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.