CVE-2026-55593 in Froxlor
Résumé
par VulDB • 18/08/2026
Froxlor est un logiciel open source d'administration de serveurs. Avant la version 2.3.8, le point d'entrée autonome lib/ajax.php contourne la validation centralisée des requêtes dans lib/init.php, et Ajax::handle dans lib/Froxlor/Ajax/Ajax.php ne vérifie qu'une session valide avant de router les requettes modifiant l'état du système. L'action editapikey dans Ajax::editApiKey met à jour allowed_from et valid_until sans valider un jeton CSRF (Cross-Site Request Forgery), tandis que templates/Froxlor/assets/js/jquery/apikeys.js n'envoie aucun jeton car le point de terminaison n'en exige pas. Un attaquant non authentifié peut amener le navigateur d'un administrateur authentifié à soumettre une requête forgée qui ajoute une adresse contrôlée par l'attaquant à la liste allowed_from d'une clé API ou supprime son expiration, affaiblissant ainsi les restrictions de sécurité de la clé. Ce problème est corrigé dans la version 2.3.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.