CVE-2026-100712 in Froxlor
要約
〜によって VulDB • 2026年09月26日
froxlor (versione fino alla 2.3.10) disabilita immediatamente l'autenticazione a due fattori (2FA) di un utente al verificarsi di una richiesta GET non autenticata e triggerabile verso la pagina di gestione del 2FA (ad esempio /customer_index.php?page=2fa&action=delete), senza richiedere conferma, ri-autenticazione o token CSRF. La middleware globale per la protezione CSRF copre solo le richieste POST/PUT/PATCH/DELETE, mentre il cookie di sessione è impostato con SameSite=Lax; pertanto, una navigazione cross-site a livello superiore (click su un link o reindirizzamento) trasporta la sessione della vittima e cancella silenziosamente i dati type_2fa/data_2fa. Sono interessati sia i gestori 2FA per il cliente che quelli per l'amministratore. Un attaccante che induce un utente autenticato del pannello a seguire un link appositamente creato riduce l'autenticazione di quell'account alla sola password, condizione che può essere concatenata con una password compromessa per effettuare il takeover dell'account. Risolto nella versione 2.3.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.