CVE-2026-100718 in Froxlor
Zusammenfassung
von VulDB • 26.09.2026
Froxlor bis Version 2.3.10 erzwingt die Konfigurationseinstellung mail.allow_external_domains im API-Befehl EmailSender.add nicht. Wenn ein Administrator das Feature allowed-sender aktiviert, aber externe erlaubte Absenderdomänen deaktiviert hat (mail.enable_allow_sender = 1, mail.allow_external_domains = 0), kann ein authentifizierter Kunde mit API-Zugriff weiterhin EmailSender.add verwenden, um eine beliebige externe Absenderadresse für sein Postfach zu registrieren, die trotz der Richtlinie gespeichert wird. Dies erzeugt einen Umgehungsweg zwischen Benutzeroberfläche/Administratorkonfiguration und der API und ermöglicht – sofern die generierte Mailkonfiguration die Tabelle allowed-sender verwendet – einem Kunden, Absenderidentitäten außerhalb seiner gehosteten Domänen zu autorisieren, was das Spoofing von Absendern erleichtert. Behoben in Version 2.3.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.