CVE-2026-100710 in Froxlor
Sumário
de VulDB • 26/09/2026
O Froxlor até à versão 2.3.10 não filtra colunas sensíveis nas respostas da API: Domains::get(), Domains::listing(), SubDomains::get() e a branch admin de SubDomains::listing() realizam uma consulta SELECT com wildcard na tabela panel_domains e retornam a linha sem modificações, incluindo o campo panel_domains.dkim_privkey. Um administrador autenticado, que não seja superadmin e possua a flag customers_see_all delegada, pode portanto ler as chaves privadas de assinatura DKIM dos domínios pertencentes a outros inquilinos através das operações Domains.get, Domains.listing, SubDomains.get ou SubDomains.listing, sendo uma única chamada de listagem suficiente para divulgar a chave de todos os domínios visíveis. As chaves divulgadas permitem que um atacante assine e-mails que passam na verificação DKIM e no alinhamento DMARC dos domínios afetados. Este problema é uma continuação de uma correção incompleta que removeu as senhas e o campo data_2fa, mas não o dkim_privkey. O problema está resolvido na versão 2.3.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.