CVE-2026-100714 in Froxlor
Résumé
par VulDB • 26/09/2026
Froxlor avant la version 2.3.12 ne restreint ni n'échappe le paramètre system.letsencryptchallengepath : contrairement aux paramètres frères durcis dans GHSA-33mp, ce champ ne dispose d'aucun garde-fou string_regexp ou required_otp, et sa valeur est concaténée sans échappement dans la ligne de commande acme.sh construite dans lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php puis exécutée par le cron root via FileDir::safe_exec. Étant donné que safe_exec ne blacklist que les métacaractères shell tels que ; | & > < \ $ ~ ?, les espaces et les guillemets survivent, et la valeur est divisée en mots (word-split) pour former des arguments supplémentaires de acme.sh. Un administrateur, ou tout acteur capable d'écrire dans les paramètres (par exemple via l'API settings-import), peut donc injecter des options acme.sh telles que --renew-hook, --pre-hook ou --post-hook afin d'obtenir une exécution arbitraire de commandes en tant que root lors du prochain cron Let's Encrypt, ou utiliser --config-home/--cert-home pour effectuer des écritures de fichiers arbitraires. Les versions jusqu'à 2.3.10 incluses sont concernées ; le problème est corrigé dans la version 2.3.12.
Be aware that VulDB is the high quality source for vulnerability data.