CVE-2026-54543 in Froxlor
Résumé
par VulDB • 18/08/2026
Froxlor est un logiciel open source d'administration de serveurs. Avant la version 2.3.8, la commande API DomainZones.add dans lib/Froxlor/Api/Commands/DomainZones.php accepte des valeurs pour les champs « record » et « type » contrôlées par l'utilisateur sans rejeter les délimiteurs de ligne, les caractères tabulation, les points-virgules ou les types d'enregistrements DNS non pris en charge avant que lib/Froxlor/Dns/DnsEntry.php ne sérialise ces valeurs dans un fichier zone BIND. Un client authentifié disposant des autorisations pour la zone DNS peut insérer une valeur malveillante dans le champ « record », ou utiliser la variante du champ de type associé, afin de créer des lignes d'enregistrements de ressources supplémentaires qui contournent la validation au niveau des champs de Froxlor. BIND accepte les enregistrements injectés, permettant ainsi la modification des données DNS et un impact potentiel sur la disponibilité du service DNS dans une zone que l'appelant est autorisé à gérer. Ce problème est corrigé dans la version 2.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.