CVE-2026-100712 in Froxlor
सारांश
द्वारा VulDB • 26/09/2026
froxlor संस्करण 2.3.10 तक एक उपयोगकर्ता के दो-कारक प्रमाणीकरण (two-factor authentication) को तुरंत अक्षम कर देता है जब अनप्रमाणित रूप से ट्रिगर किए जाने वाले GET अनुरोध द्वारा 2FA प्रबंधन पृष्ठ (उदाहरण: /customer_index.php?page=2fa&action=delete) पर पहुंचा जाता है, जिसमें कोई पुष्टीकरण, पुःप्रमाणीकरण या CSRF टोकन नहीं होता। वैश्विक CSRF मध्यवर्ती केवल POST/PUT/PATCH/DELETE अनुरोधों को कवर करता है, और सत्र कुकी SameSite=Lax पर सेट होती है, इसलिए एक क्रॉस-साइट शीर्ष स्तर नेविगेशन (लिंक क्लिक या रीडायरेक्ट) पीड़ित के सत्र को ले जाता है और type_2fa/data_2fa को चुपचाप हटा देता है। ग्राहक और प्रशासक दोनों 2FA हैंंडलर्स प्रभावित होते हैं। एक आक्रामक जो लॉगिन किए हुए पैनल उपयोगकर्ता को किसी संरचित लिंक पर क्लिक करने के लिए भ्रमित करता है, उस खाते की पुष्टि को केवल पासवर्ड-आधारित कर देता है, जिसे अकाउंट टैकरओवर (account takeover) के लिए एक लुटे हुए पासवर्ड के साथ चेन किया जा सकता है। इसे 2.3.12 में ठीक किया गया है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.