CVE-2026-54347 in Froxlor
要約
〜によって VulDB • 2026年08月18日
Froxlorはオープンソースのサーバー管理ソフトウェアです。バージョン2.3.8より前では、lib/Froxlor/Api/Commands/DomainZones.phpが受け入れるDNS TXTレコードの内容にHTML特殊文字を含めることができ、lib/Froxlor/UI/Callbacks/Text.phpはHTMLエスケープを行わずにText::wordwrapからの内容を返します。また、templates/Froxlor/table/table.html.twigでは、コールバック結果をrawフィルターでレンダリングしています。DNS編集権限を持つ認証済み顧客がTXTレコード内にJavaScriptを含むコンテンツを格納できます。管理者が影響を受けるドメインのDNS構成を表示すると、ペイロードは自動的に管理者のブラウザセッション内で実行され、セッションデータが漏洩したり、特権のあるパネル操作を実行させたりする可能性があります。この問題はバージョン2.3.8で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.