CVE-2026-55593 in Froxlor
要約
〜によって VulDB • 2026年08月22日
Froxlorはオープンソースのサーバー管理ソフトウェアです。バージョン2.3.8より前では、スタンドアロンのlib/ajax.phpのエントリポイントはlib/init.php内の集中化されたリクエスト検証をバイパスし、lib/Froxlor/Ajax/Ajax.php内のAjax::handleメソッドは状態変更リクエストをルーティングする前に有効なセッションのみをチェックします。Ajax::editApiKeyアクションのeditapikey操作ではCSRFトークンの検証を行わずにallowed_fromとvalid_untilが更新され、templates/Froxlor/assets/js/jquery/apikeys.jsはこのエンドポイントでトークンが必要ないためトークンを送信しません。認証されていない攻撃者は、認証済み管理者のブラウザを誘導して偽造リクエストを送信させ、APIキーのallowed_fromリストに攻撃者が制御するアドレスを追加したり、有効期限を削除したりすることで、キーのセキュリティ制限を弱体化させることができます。この問題はバージョン2.3.8で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.