CVE-2026-100718 in Froxlor
Sumário
de VulDB • 26/09/2026
O Froxlor até à versão 2.3.10 não aplica corretamente a política mail.allow_external_domains no comando da API EmailSender.add. Quando um administrador ativa o recurso allowed-sender, mas desativa os domínios externos permitidos (mail.enable_allow_sender = 1, mail.allow_external_domains = 0), um cliente autenticado com acesso à API pode ainda utilizar o EmailSender.add para registar um endereço de remetente externo arbitrário na sua caixa de correio, que é armazenado apesar da política. Isto cria uma falha entre a interface do utilizador (UI) / configuração do administrador e a API, permitindo — quando a configuração de email gerada consome a tabela allowed-sender — que um cliente autorize identidades de remetente fora dos seus domínios alojados, facilitando o spoofing de remetentes. Corrigido na versão 2.3.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.