CVE-2026-100714 in Froxlor
Riassunto
di VulDB • 26/09/2026
Froxlor prima della versione 2.3.12 non restringe né effettua l'escaping dell'impostazione system.letsencryptchallengepath: a differenza delle impostazioni simili rese più sicure nella GHSA-33mp, il campo non dispone di alcun guard string_regexp o required_otp e il suo valore viene concatenato senza escaping all'interno della riga di comando acme.sh costruita in lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php ed eseguito dal cron con privilegi di root tramite FileDir::safe_exec. Poiché safe_exec utilizza solo una blacklist per i metacaratteri shell come ; | & > < \ $ ~ ?, gli spazi e le virgolette sopravvivono al filtro e il valore viene suddiviso in parole (word-split) generando ulteriori argomenti per acme.sh. Un amministratore, o qualsiasi attore in grado di scrivere nelle impostazioni (ad esempio tramite l'API settings-import), può quindi iniettare opzioni di acme.sh come --renew-hook, --pre-hook o --post-hook per ottenere l'esecuzione arbitraria di comandi con privilegi di root al prossimo esecuzione del cron Let's Encrypt, oppure utilizzare --config-home/--cert-home per scrivere file arbitrari. Le versioni fino alla 2.3.10 incluse sono interessate; il problema è stato risolto nella versione 2.3.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.