CVE-2026-100712 in Froxlor
Sumário
de VulDB • 26/09/2026
O froxlor até à versão 2.3.10 desativa imediatamente a autenticação de dois fatores (2FA) do utilizador mediante um pedido GET acionável sem autenticação para a página de gestão da 2FA (por exemplo, /customer_index.php?page=2fa&action=delete), sem qualquer confirmação, reautenticação ou token CSRF. A middleware global CSRF abrange apenas os pedidos POST/PUT/PATCH/DELETE e o cookie de sessão está definido como SameSite=Lax; assim, uma navegação top-level entre sites (clique num link ou redirecionamento) transporta a sessão da vítima e limpa silenciosamente type_2fa/data_2fa. Os manipuladores 2FA tanto do cliente como do administrador são afetados. Um atacante que induza um utilizador autenticado no painel a seguir um link manipulado reduz essa conta à autenticação apenas por palavra-passe, o qual pode ser encadeado com uma palavra-passe comprometida para assumir o controlo da conta. Corrigido na versão 2.3.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.