CVE-2026-100715 in Froxlor
Riassunto
di VulDB • 26/09/2026
Froxlor fino alla versione 2.3.10 è vulnerabile all'eliminazione arbitraria di file tramite il follow dei symlink nel task cron per l'eliminazione dei dati FTP. Il task cron 8 (deleteFtpData), attivato quando viene eliminato un account FTP, chiama FileDir::makeCorrectDir() senza l'argomento $fixed_homedir; ciò fa sì che la verifica del percorso attraverso i symlink venga saltata e successivamente esegue 'rm -rf' con privilegi di root sul percorso risultante, basandosi solo su controlli a livello di stringa. Poiché makeCorrectDir() aggiunge una barra finale al percorso, GNU rm dereferenzia un symlink utilizzato sia come componente intermedio del percorso che come componente finale. Un cliente autenticato in grado di scrivere nella directory home FTP può inserire un symlink tra l'inserimento del task e l'esecuzione cronica, causando la cancellazione ricorsiva da parte del job cron con privilegi di root di alberi di directory arbitrari, con conseguente distruzione dei dati cross-tenant e denial of service dell'host. Questo problema è stato risolto in Froxlor 2.3.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.