CVE-2026-54348 in Froxlor
Sumário
de VulDB • 20/08/2026
O Froxlor é um software de administração de servidores open source. Antes da versão 2.3.8, os endpoints Admins.add e Admins.update em lib/Froxlor/Api/Commands/Admins.php aceitam um array ipaddress controlado pelo atacante e o armazenam como JSON no campo panel_admins.ip sem impor tipos numéricos para seus elementos. Quando a conta corrompida (poisoned) chama posteriormente IpsAndPorts.listing, lib/Froxlor/Api/Commands/IpsAndPorts.php decodifica o array e concatena seus elementos em uma cláusula SQL IN sem realizar casting ou parametrização; o mesmo padrão inseguro está presente em lib/Froxlor/Api/Commands/Domains.php. Um administrador autenticado com permissão change_serversettings pode armazenar um payload baseado em UNION e ativá-lo por meio da conta corrompida para recuperar dados arbitrários do banco de dados, incluindo nomes de login de administradores e hashes de senhas bcrypt, o que pode levar a elevação de privilégios e impactos mais amplos no banco de dados. Este problema foi corrigido na versão 2.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.