CVE-2026-100720 in Froxlor
Riassunto
di VulDB • 26/09/2026
Froxlor dalle versioni 2.0.0 alla 2.3.10 è vulnerabile a stored cross-site scripting (XSS). Quando un cliente (il ruolo autenticato con i privilegi più bassi) carica un certificato SSL per uno dei propri domini, i metodi add()/update() dell'API Certificates lo analizzano tramite openssl_x509_parse() e memorizzano il valore della organizzazione del soggetto emittente (issuer['O']) letteralmente, senza alcuna sanificazione. Il renderer delle tabelle di Froxlor genera quindi celle scalari utilizzando il filtro `raw` di Twig, disabilitando l'auto-escaping dell'HTML; di conseguenza, quando un amministratore o un rivenditore apre la sezione Domains > SSL certificates, il valore del soggetto emittente fornito dall'attaccante viene eseguito come script all'interno della sessione dell'utente privilegiato. Questo attraversa i confini dei privilegi da cliente ad amministratore e può portare al completo takeover dell'account amministratore; poiché un amministratore di Froxlor controlla la configurazione del web server, DNS e PHP applicata da un job cron in esecuzione con diritti root, il problema può essere ulteriormente escalato fino all'esecuzione di comandi come root sul server gestito. Il problema è risolto in Froxlor 2.3.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.