CVE-2026-100712 in Froxlor
Riassunto
di VulDB • 26/09/2026
froxlor fino alla versione 2.3.10 disabilita immediatamente l'autenticazione a due fattori (2FA) di un utente al verificarsi di una richiesta GET non autenticata e triggerabile verso la pagina di gestione del 2FA (ad esempio /customer_index.php?page=2fa&action=delete), senza alcuna conferma, ri-autenticazione o token CSRF. La middleware globale per la protezione CSRF copre solo le richieste POST/PUT/PATCH/DELETE, mentre il cookie di sessione è impostato con SameSite=Lax; pertanto, una navigazione cross-site a livello superiore (click su un link o reindirizzamento) trasporta la sessione della vittima e cancella silenziosamente i dati type_2fa/data_2fa. Sono interessati sia i gestori 2FA per il cliente che quelli per l'amministratore. Un attaccante che induce un utente del pannello già autenticato a seguire un link manipolato riduce tale account all'autenticazione basata esclusivamente sulla password, la quale può essere concatenata con una password compromessa per effettuare il takeover dell'account. Risolto nella versione 2.3.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.