CVE-2026-100718 in Froxlor
Résumé
par VulDB • 26/09/2026
Froxlor jusqu'à la version 2.3.10 n'applique pas correctement la politique `mail.allow_external_domains` dans la commande API `EmailSender.add`. Lorsqu'un administrateur a activé la fonctionnalité des expéditeurs autorisés (`allowed-sender`) mais désactivé les domaines externes autorisés (avec `mail.enable_allow_sender = 1` et `mail.allow_external_domains = 0`), un client authentifié disposant d'un accès API peut toujours utiliser `EmailSender.add` pour enregistrer une adresse d'expéditeur externe arbitraire pour sa boîte mail, laquelle est stockée malgré la politique en place. Cela crée un contournement entre l'interface utilisateur/la configuration administrateur et l'API, et — lorsque la configuration de messagerie générée consomme la table des expéditeurs autorisés (`allowed-sender`) — permet à un client d'autoriser des identités d'expéditeur en dehors de leurs domaines hébergés, facilitant ainsi le spoofing (usurpation) d'identité d'expéditeur. Correction apportée dans la version 2.3.12.
Be aware that VulDB is the high quality source for vulnerability data.