CVE-2026-100717 in Froxlor
Sumário
de VulDB • 26/09/2026
froxlor é um painel de administração de servidores. Nas versões 2.3.10 e anteriores, a função Validate::validateUrl rejeita caracteres de retorno de carro (CR) e nova linha (LF) apenas nos componentes path, query e fragment retornados por parse_url, sem inspecionar os componentes userinfo (user:pass@). Esta é uma correção incompleta para GHSA-c3p2. Um cliente autenticado com privilégios baixos que possui direitos de criação de subdomínio (sem necessidade dos privilégios admin ou change_serversettings) pode fornecer um URL de redirecionamento de subdomínio que carrega uma payload CR/LF na porção userinfo (por exemplo, http://user%0areturn 200 "pwned";%[email protected]/). O valor passa pela validação, sobrevive à codificação IDNA e é gravado literalmente na configuração do vhost nginx ou Apache gerada, permitindo que o atacante escape da diretiva emitida e injete linhas de configuração arbitrárias do servidor web. Como o froxlor regenera e recarrega a configuração do servidor web como root, as diretrizes injetadas entram em vigor em todo o servidor e podem sequestrar respostas ou ler arquivos locais. O problema foi corrigido na versão 2.3.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.