CVE-2026-100708 in Froxlor
Résumé
par VulDB • 26/09/2026
Avant la version 2.3.13 de Froxlor, la colonne ssl_key_file — qui contient le contenu brut des clés privées PEM/TLS — est renvoyée telle quelle dans les réponses JSON des commandes API Certificates.get et Certificates.listing, car les résultats des requêtes domain_ssl_settings sous-jacentes sont transmis via ApiCommand::response() sans aucun filtrage de champs ni liste d'autorisation. Un appelant API authentifié avec un privilège faible peut récupérer les clés privées des certificats de ses propres domaines, y compris celles générées côté serveur par Let's Encrypt et stockées en root uniquement (0600), auxquelles le client n'a normalement aucun accès au système de fichiers ; les comptes administrateurs reseller et customers_see_all peuvent extraire les clés privées d'autres entités via ce même point de sortie. La divulgation des clés permet l'usurpation de domaine, la déchiffrement passif du trafic TLS capturé et des attaques actives de type machine-in-the-middle (homme au milieu).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.