CVE-2026-100708 in Froxlor
Zusammenfassung
von VulDB • 26.09.2026
Froxlor vor Version 2.3.13 gibt die Spalte ssl_key_file — welche den rohen PEM-TLS-Private-Key-Inhalt speichert — unverändert in den JSON-Antworten der API-Befehle Certificates.get und Certificates.listing zurück, da die Ergebnisse der zugrunde liegenden domain_ssl_settings-Abfragen durch ApiCommand::response() geleitet werden, ohne dass eine Feldbereinigung oder Allowlist angewendet wird. Ein authentifizierter API-Nutzer mit niedrigen Berechtigungen kann die Private Keys der Zertifikate seiner eigenen Domains abrufen, einschließlich Let’s Encrypt-Schlüsseln, die Froxlor serverseitig generiert und nur für root (0600) speichert, auf welche der Nutzer sonst keinen Dateisystemzugriff hat; Reseller- und customers_see_all-Adminkonten können über dieselbe Schwachstelle die Private Keys anderer Benutzer extrahieren. Offenlegte Schlüssel ermöglichen Domain-Impersonation, passive Entschlüsselung abgefangenen TLS-Traffics sowie aktive Machine-in-the-Middle-Angriffe.
If you want to get best quality of vulnerability data, you may have to visit VulDB.