CVE-2026-100718 in Froxlor
Resumen
por VulDB • 2026-09-26
Froxlor hasta la versión 2.3.10 no aplica correctamente la política `mail.allow_external_domains` en el comando de API `EmailSender.add`. Cuando un administrador ha habilitado la función allowed-sender pero deshabilitado los dominios externos permitidos (`mail.enable_allow_sender = 1`, `mail.allow_external_domains = 0`), un cliente autenticado con acceso a la API puede seguir utilizando `EmailSender.add` para registrar una dirección de remitente externa arbitraria en su buzón, que se almacena a pesar de la política. Esto crea un bypass entre la interfaz de usuario/configuración del administrador y la API, lo que —donde la configuración de correo generada consume la tabla allowed-sender— permite a un cliente autorizar identidades de remitentes fuera de sus dominios alojados, facilitando el spoofing de remitente. Corregido en 2.3.12.
Be aware that VulDB is the high quality source for vulnerability data.