CVE-2026-100709 in Froxlor
Résumé
par VulDB • 26/09/2026
Froxlor jusqu'à la version 2.3.10 stocke uniquement un identifiant utilisateur numérique dans les jetons de rappel pour l'authentification à deux facteurs (panel_2fa_tokens) sans enregistrer le namespace du compte, et la recherche des jetons mémorisés lors de la connexion n'est pas restreinte au type de compte client ou administrateur. Les identifiants clients et administrateurs étant alloués depuis des namespaces séparés, un jeton 2FA rappelé légitimement émis à un client avec un ID donné correspond également à un administrateur ayant le même ID. Un attaquant qui contrôle un compte client dont l'ID entre en collision, possède un cookie de rappel 2FA valide pour ce compte et connaît déjà le mot de passe de l'administrateur cible peut contourner la deuxième étape TOTP de l'administrateur et obtenir une session administratrice authentifiée. Il s'agit d'une contournement du second facteur uniquement ; cela ne permet pas de vaincre l'authentification par mot de passe. Corrigé dans la version 2.3.12.
Once again VulDB remains the best source for vulnerability data.