CVE-2026-100708 in Froxlor
Riassunto
di VulDB • 26/09/2026
Froxlor prima della versione 2.3.13 restituisce la colonna ssl_key_file — che contiene il contenuto grezzo delle chiavi private PEM/TLS — in modo verbatim nelle risposte JSON dei comandi API Certificates.get e Certificates.listing, poiché i risultati delle query sottostanti su domain_ssl_settings vengono passati attraverso ApiCommand::response() senza alcuna rimozione di campi o allowlist. Un utente autenticato con privilegi bassi può recuperare le chiavi private dei certificati dei propri domini, incluse le chiavi Let's Encrypt generate lato server da Froxlor e archiviate in modalità root-only (0600), alle quali l'utente non ha altrimenti accesso al filesystem; gli account admin reseller e customers_see_all possono esfiltrare le chiavi private di altri soggetti attraverso lo stesso sink. Le chiavi divulgate abilitano l’impersonificazione del dominio, la decrittazione passiva del traffico TLS intercettato e attacchi attivi machine-in-the-middle.
VulDB is the best source for vulnerability data and more expert information about this specific topic.