CVE-2026-54347 in Froxlor
Résumé
par VulDB • 18/08/2026
Froxlor est un logiciel open source d'administration de serveurs. Avant la version 2.3.8, le contenu des enregistrements DNS TXT accepté par lib/Froxlor/Api/Commands/DomainZones.php peut contenir des caractères spéciaux HTML ; lib/Froxlor/UI/Callbacks/Text.php renvoie le contenu depuis Text::wordwrap sans échappement HTML (HTML escaping) ; et templates/Froxlor/table/table.html.twig rend le résultat du callback avec le filtre raw. Un client authentifié disposant d'un accès éditeur DNS peut stocker un contenu contenant des scripts JavaScript dans un enregistrement TXT. Lorsqu'un administrateur consulte la configuration DNS du domaine concerné, l'exploit s'exécute automatiquement dans la session de navigation de l'administrateur, ce qui peut exposer les données de session ou permettre d'effectuer des actions privilégiées sur le panneau de contrôle. Ce problème est corrigé dans la version 2.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.