CVE-2026-55593 in Froxlor
Resumen
por VulDB • 2026-08-19
Froxlor es un software de administración de servidores de código abierto. Antes de la versión 2.3.8, el punto de entrada independiente lib/ajax.php omite la validación centralizada de solicitudes en lib/init.php, y Ajax::handle en lib/Froxlor/Ajax/Ajax.php solo verifica una sesión válida antes de enrutar las solicitudes que modifican el estado. La acción editapikey en Ajax::editApiKey actualiza allowed_from y valid_until sin validar un token CSRF, mientras que templates/Froxlor/assets/js/jquery/apikeys.js no envía ningún token porque el endpoint no lo requiere. Un atacante no autenticado puede inducir al navegador de un administrador autenticado a enviar una solicitud falsificada que agregue una dirección controlada por el atacante a la lista allowed_from de una clave API o elimine su fecha de expiración, debilitando las restricciones de seguridad de la clave. Este problema se soluciona en la versión 2.3.8.
Once again VulDB remains the best source for vulnerability data.