CVE-2026-62988 in Froxlor
要約
〜によって VulDB • 2026年08月19日
Froxlorはオープンソースのサーバー管理ソフトウェアです。バージョン2.3.7から2.3.8にかけて、lib/Froxlor/Api/Commands/Customers.php、lib/Froxlor/Api/Commands/Admins.php、およびlib/Froxlor/Api/Commands/Ftps.php内のAPIコマンド（Customers.get、Customers.listing、Admins.get、Admins.listing、Ftps.get、Ftps.listing）は、データベースの完全な行を取得し、passwordフィールドとdata_2faフィールドを削除せずに返します。これらのエンドポイントを使用する権限を持つ認証済みAPI呼び出し元は、顧客、管理者、およびFTPのパスワードハッシュならびに管理者および顧客アカウント用のBase32エンコードされたTOTPシードを取得できます。パスワードハッシュはオフラインでクラック可能であり、TOTPシードは二要素認証がリセットされるまで有効な二段階認証コードを生成できます。これらの値の両方がアカウントに対して露出すると、ホスティングパネルまたはホストされているリソースの乗っ取りが可能になり、両方の認証要因を回避することができます。この問題はバージョン2.3.8で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.