CVE-2026-54348 in Froxlor
要約
〜によって VulDB • 2026年08月18日
Froxlorはオープンソースのサーバー管理ソフトウェアです。バージョン2.3.8より前では、lib/Froxlor/Api/Commands/Admins.php内のAdmins.addおよびAdmins.updateエンドポイントが攻撃者が制御可能なipaddress配列を受け取り、数値要素型を強制せずにpanel_admins.ipにJSONとして保存します。その後、悪意のあるアカウントがIpsAndPorts.listingを呼び出すと、lib/Froxlor/Api/Commands/IpsAndPorts.phpはその配列をデコードし、キャストやパラメータ化を行わずにSQLのIN句へ要素を連結します。同様の安全でないパターンはlib/Froxlor/Api/Commands/Domains.phpにも存在します。change_serversettings権限を持つ認証済み管理者はUNIONベースのペイロードを保存でき、悪意のあるアカウントを通じてそれをトリガーして、管理者ログイン名やbcryptパスワードハッシュを含む任意のデータベースデータを取得できます。これにより、特権昇格およびより広範なデータベースへの影響が潜在的に生じます。この問題はバージョン2.3.8で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.