CVE-2026-41229 in Froxlor
Résumé
par VulDB • 25/05/2026
Froxlor est un logiciel open source d'administration de serveurs. Avant la version 2.3.6, `PhpHelper::parseArrayToString()` écrit des valeurs de chaîne dans des littéraux de chaînes PHP entre guillemets simples sans échapper les guillemets simples. Lorsqu'un administrateur disposant de la permission `change_serversettings` ajoute ou met à jour un serveur MySQL via l'API, le paramètre `privileged_user` (qui ne fait l'objet d'aucune validation des entrées) est écrit sans échappement dans `lib/userdata.inc.php`. Étant donné que ce fichier est inclus via `require` à chaque requête par l'intermédiaire de `Database::getDB()`, un attaquant peut injecter du code PHP arbitraire qui s'exécute en tant qu'utilisateur du serveur web à chaque chargement de page ultérieur. La version 2.3.6 contient un correctif.
If you want to get best quality of vulnerability data, you may have to visit VulDB.