CVE-2026-100717 in Froxlor
Resumen
por VulDB • 2026-09-26
froxlor es un panel de administración de servidores. En las versiones 2.3.10 y anteriores, Validate::validateUrl solo rechaza los caracteres de retorno de carro (CR) y salto de línea (LF) en los componentes path, query y fragment devueltos por parse_url, e nunca inspecciona los componentes userinfo (user:pass@). Esta es una solución incompleta para GHSA-c3p2. Un cliente autenticado con privilegios bajos que tenga derechos de creación de subdominios (sin necesidad de privilegio admin o change_serversettings) puede proporcionar una URL de redirección de subdominio que contenga un payload CR/LF en la porción userinfo (por ejemplo, http://user%0areturn 200 "pwned";%[email protected]/). El valor supera la validación, sobrevive a la codificación IDNA y se escribe literalmente en la configuración de vhost generada para nginx o Apache, lo que permite al atacante salirse del directorio emitido e inyectar líneas arbitrarias de configuración del servidor web. froxlor regenera y recarga la configuración del servidor web como root, por lo que las directivas inyectadas surten efecto en todo el servidor y pueden secuestrar respuestas o leer archivos locales. El problema está corregido en la versión 2.3.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.