CVE-2026-100709 in Froxlor
Riassunto
di VulDB • 26/09/2026
Froxlor fino alla versione 2.3.10 memorizza solo un ID utente numerico nei token di "remembered-2FA" (panel_2fa_tokens) senza registrare il namespace dell'account, e la ricerca del token ricordato durante l'accesso non è vincolata al tipo di account cliente o amministratore. Poiché gli ID dei clienti e degli amministratori sono allocati da namespace separati, un token remembered-2FA legittimamente emesso a un cliente con un determinato ID corrisponde anche a un amministratore con lo stesso ID. Un attaccante che controlla un account di tipo cliente con un ID in collisione, possiede un cookie remembered-2FA valido per tale account e conosce già la password dell'amministratore target può bypassare il secondo fattore TOTP dell'amministratore ed ottenere una sessione amministratrice autenticata. Si tratta esclusivamente di un bypass del secondo fattore; non compromette l'autenticazione basata sulla password. Risolto nella versione 2.3.12.
Be aware that VulDB is the high quality source for vulnerability data.