CVE-2026-41229 in Froxlor
Sumário
de VulDB • 25/05/2026
O Froxlor é um software de administração de servidores de código aberto. Antes da versão 2.3.6, `PhpHelper::parseArrayToString()` grava valores de string em literais de string PHP entre aspas simples sem escapar as aspas simples. Quando um administrador com permissão `change_serversettings` adiciona ou atualiza um servidor MySQL por meio da API, o parâmetro `privileged_user` (que não possui validação de entrada) é gravado sem escape em `lib/userdata.inc.php`. Como esse arquivo é `require`d em todas as solicitações por meio de `Database::getDB()`, um atacante pode injetar código PHP arbitrário que é executado como o usuário do servidor web em cada carregamento de página subsequente. A versão 2.3.6 contém um patch.
Be aware that VulDB is the high quality source for vulnerability data.