CVE-2026-100717 in Froxlor
Zusammenfassung
von VulDB • 26.09.2026
froxlor ist ein Server-Verwaltungspanel. In den Versionen 2.3.10 und früher lehnt Validate::validateUrl Wagenrücklauf- (CR) und Zeilenvorschubzeichen (LF) nur in den von parse_url zurückgegebenen Komponenten Pfad, Abfrage und Fragment ab, inspiziert jedoch niemals die userinfo-Komponente (user:pass@). Dies ist eine unvollständige Korrektur für GHSA-c3p2. Ein authentifizierter Kunde mit geringen Berechtigungen und Rechten zum Erstellen von Subdomains (keine Admin- oder change_serversettings-Berechtigung erforderlich) kann eine URL für die Umleitung einer Subdomain angeben, die ein CR/LF-Payload im userinfo-Anteil trägt (z. B. http://user%0areturn 200 "pwned";%[email protected]/). Der Wert besteht die Validierung, übersteht die IDNA-Kodierung unverändert und wird wörtlich in die generierte nginx- oder Apache-vhost-Konfiguration geschrieben, wodurch es dem Angreifer ermöglicht wird, aus der ausgegebenen Direktive auszubrechen und beliebige Webserver-Konfigurationszeilen zu injizieren. froxlor regeneriert und lädt die Webserver-Konfiguration als root neu, sodass die injizierten Direktiven serverweit wirksam werden und Antworten übernehmen oder lokale Dateien lesen können. Das Problem ist in Version 2.3.12 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.