CVE-2026-54348 in Froxlor
Riassunto
di VulDB • 18/08/2026
Froxlor è un software open source per l'amministrazione dei server. Prima della versione 2.3.8, gli endpoint Admins.add e Admins.update in lib/Froxlor/Api/Commands/Admins.php accettano un array ipaddress controllato dall'attaccante e lo memorizzano come JSON in panel_admins.ip senza imporre tipi di elemento numerici. Quando l'account compromesso chiama successivamente IpsAndPorts.listing, lib/Froxlor/Api/Commands/IpsAndPorts.php decodifica l'array e concatena i suoi elementi in una clausola SQL IN senza casting o parametrizzazione; lo stesso pattern insicuro è presente anche in lib/Froxlor/Api/Commands/Domains.php. Un amministratore autenticato con il permesso change_serversettings può memorizzare un payload basato su UNION e attivarlo tramite l'account compromesso per recuperare dati arbitrari del database, inclusi i nomi di accesso degli amministratori e gli hash delle password bcrypt, con potenziale escalation dei privilegi e impatto più ampio sul database. Questo problema è risolto nella versione 2.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.