CVE-2026-100715 in Froxlor
요약
\~에 의해 VulDB • 2026. 09. 26.
Froxlor 버전 2.3.10 이전은 FTP 데이터 삭제 크론 작업에서 심볼릭 링크 추적을 통해 임의 파일 삭제를 허용하는 취약점이 있습니다. FTP 계정 삭제 시 큐에 추가되는 크론 작업 8(deleteFtpData)는 $fixed_homedir 인자 없이 FileDir::makeCorrectDir()을 호출하므로, 심볼릭 링크 구성 요소 순회가 생략되고 결과 경로에서 문자열 수준의 보호 장치만 사용하여 루트 권한으로 'rm -rf'를 실행합니다. makeCorrectDir()은 후행 슬래시를 추가하므로 GNU rm은 중간 경로 구성 요소 또는 최종 구성 요소로 사용되는 심볼릭 링크를 역참조합니다. FTP 홈 디렉토리에 작성할 수 있는 인증된 고객은 작업 삽입과 크론 실행 사이에 심볼릭 링크를 설치하여 루트 크론 작업이 임의 디렉토리 트리를 재귀적으로 삭제하도록 할 수 있으며, 이는 교차 테넌트 데이터 파괴와 호스트 서비스 거부를 초래합니다. 이 문제는 Froxlor 2.3.12에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.