CVE-2026-54348 in Froxlor
요약
\~에 의해 VulDB • 2026. 08. 18.
Froxlor은 오픈 소서 서버 관리 소프트웨어입니다. 버전 2.3.8 이전의 lib/Froxlor/Api/Commands/Admins.php에 있는 Admins.add 및 Admins.update 엔드포인트는 공격자가 제어하는 ipaddress 배열을 받아 panel_admins.ip에 JSON 형식으로 저장하며, 요소가 숫자 타입인지 여부를 검증하지 않습니다. 나중에 이 조작된 계정이 IpsAndPorts.listing를 호출하면 lib/Froxlor/Api/Commands/IpsAndPorts.php에서 해당 배열이 디코딩되고 SQL IN 절로 연결되는데, 이때 캐스팅이나 파라미터화 처리 없이 결합됩니다. 동일한 안전하지 않은 패턴은 lib/Froxlor/Api/Commands/Domains.php에도 존재합니다. change_serversettings 권한을 가진 인증된 관리자는 UNION 기반 페이로드를 저장하고 조작된 계정을 통해 이를 트리거하여 관리자 로그인 이름과 bcrypt 비밀번호 해시를 포함한 임의의 데이터베이스 데이터를 검색할 수 있으며, 이는 잠재적인 privilege escalation 및 더 넓은 범위의 데이터베이스 영향으로 이어질 수 있습니다. 이 문제는 버전 2.3.8에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.