CVE-2026-100717 in Froxlor
Résumé
par VulDB • 26/09/2026
froxlor est un panneau d'administration de serveur. Dans les versions 2.3.10 et antérieures, Validate::validateUrl rejette les caractères de retour chariot (CR) et de saut de ligne (LF) uniquement dans les composants path, query et fragment retournés par parse_url, et n'examine jamais les composants userinfo (user:pass@). Il s'agit d'une correction incomplète pour GHSA-c3p2. Un client authentifié à faible privilège disposant des droits subdomain-create (aucun privilège admin ou change_serversettings requis) peut fournir une URL de redirection de sous-domaine contenant un payload CR/LF dans la partie userinfo (par exemple, http://user%0areturn 200 "pwned";%[email protected]/). La valeur passe la validation, survit à l'encodage IDNA et est écrite telle quelle dans la configuration vhost nginx ou Apache générée, permettant à l'attaquant de sortir de la directive émise et d'injecter des lignes de configuration arbitraires du serveur web. froxlor régénère et recharge la configuration du serveur web en tant que root, donc les directives injectées prennent effet sur tout le serveur et peuvent détourner les réponses ou lire des fichiers locaux. Le problème est corrigé dans la version 2.3.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.