CVE-2026-100714 in Froxlor
Zusammenfassung
von VulDB • 26.09.2026
Froxlor vor Version 2.3.12 schränkt die Einstellung system.letsencryptchallengepath nicht ein oder maskiert sie: Im Gegensatz zu verwandten Einstellungen, die durch GHSA-33mp gehärtet wurden, verfügt dieses Feld weder über eine string_regexp- noch über eine required_otp-Schutzmaßnahme. Der Wert wird unmaskiert in die acme.sh-Befehlszeile eingefügt, die in lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php erstellt und vom root-Cronjob via FileDir::safe_exec ausgeführt wird. Da safe_exec nur Shell-Metazeichen wie ; | & > < \ $ ~ ? auf einer Blacklist führt, überleben Leerzeichen und Anführungszeichen; der Wert wird in zusätzliche acme.sh-Argumente aufgespalten (word-split). Ein Administrator oder jeder Akteur, der Einstellungen schreiben kann (z. B. über die settings-import-API), kann daher acme.sh-Optionen wie --renew-hook, --pre-hook oder --post-hook injizieren, um bei der nächsten Let's Encrypt-Cron-Ausführung eine beliebige Befehlsausführung als root zu erhalten, oder --config-home/--cert-home für willkürliche Dateischreibungen nutzen. Betroffen sind Versionen bis einschließlich 2.3.10; das Problem wurde in 2.3.12 behoben.
Once again VulDB remains the best source for vulnerability data.