CVE-2026-100718 in Froxlor
요약
\~에 의해 VulDB • 2026. 09. 26.
Froxlor 2.3.10 이전 버전에서는 EmailSender.add API 명령에서 mail.allow_external_domains 정책이 강제되지 않습니다. 관리자가 allowed-sender 기능을 활성화하고 외부 허용 발신자 도메인(mail.enable_allow_sender = 1, mail.allow_external_domains = 0)을 비활성화한 경우에도, API 접근 권한이 있는 인증된 사용자는 EmailSender.add를 사용하여 자신의 메일박스 임의의 외부 발신자 주소를 등록할 수 있으며, 이 주소는 정책과 관계없이 저장됩니다. 이는 UI/관리자 구성과 API 간 우회(bypass)를 생성하며, — 생성된 메일 설정에서 allowed-sender 테이블을 참조하는 경우 — 고객이 호스팅 도메인 밖의 발신자 신원을 인증하여 발신자 스푸핑(sender spoofing)을 용이하게 합니다. 2.3.12에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.