CVE-2026-100714 in Froxlor
Resumen
por VulDB • 2026-09-26
Froxlor anterior a la versión 2.3.12 no restringe ni escapa correctamente el ajuste system.letsencryptchallengepath: a diferencia de otras configuraciones similares endurecidas en GHSA-33mp, este campo carece de las validaciones string_regexp o required_otp, y su valor se concatena sin escapar dentro de la línea de comandos de acme.sh construida en lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php, siendo ejecutado por el cron del usuario root mediante FileDir::safe_exec. Dado que safe_exec solo aplica una lista negra a metacaracteres de shell como ; | & > < \ $ ~ ?, los espacios y las comillas sobreviven al proceso, lo que provoca que el valor se divida en palabras (word-split) generando argumentos adicionales para acme.sh. Por tanto, un administrador o cualquier actor capaz de modificar la configuración (por ejemplo, a través de la API settings-import) puede inyectar opciones de acme.sh como --renew-hook, --pre-hook o --post-hook para obtener ejecución arbitraria de comandos con privilegios de root en la siguiente ejecución del cron de Let's Encrypt, o bien utilizar --config-home/--cert-home para realizar escrituras arbitrarias de archivos. Las versiones hasta 2.3.10 (inclusive) están afectadas; el problema se soluciona en la versión 2.3.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.