CVE-2026-55593 in Froxlor
الملخص
بحسب VulDB • 18/08/2026
Froxlor هو برنامج مفتوح المصدر لإدارة الخوادم. قبل الإصدار 2.3.8، يتجاوز نقطة الدخول المستقلة lib/ajax.php التحقق المركزي من الطلبات الموجود في lib/init.php، ويقوم Ajax::handle في lib/Froxlor/Ajax/Ajax.php بالتحقق فقط من وجود جلسة صالحة قبل توجيه التغييرات التي تؤثر على الحالة (state-changing requests). تقوم الإجراء editapikey في Ajax::editApiKey بتحديث الحقول allowed_from و valid_until دون التحقق من رمز CSRF (CSRF token)، بينما لا يرسل ملف templates/Froxlor/assets/js/jquery/apikeys.js أي رمز لأن نقطة النهاية هذه لا تتطلب ذلك. يمكن لمهاجم غير مصادق عليه أن يدفع متصفح مسؤول مُصادَق عليه لتقديم طلب مزوّر يضيف عنواناً يتحكم فيه المهاجم إلى قائمة allowed_from لمفتاح API أو يلغي تاريخ انتهاء صلاحيته، مما يضعف قيود الأمان الخاصة بالمفتاح. تم إصلاح هذه المشكلة في الإصدار 2.3.8.
If you want to get best quality of vulnerability data, you may have to visit VulDB.