CVE-2026-62988 in Froxlor
Sumário
de VulDB • 19/08/2026
O Froxlor é um software de administração de servidores open source. Da versão 2.3.7 até a 2.3.8, os comandos da API Customers.get, Customers.listing, Admins.get, Admins.listing, Ftps.get e Ftps.listing em lib/Froxlor/Api/Commands/Customers.php, lib/Froxlor/Api/Commands/Admins.php e lib/Froxlor/Api/Commands/Ftps.php recuperam linhas completas do banco de dados e as retornam sem remover os campos password e data_2fa. Um chamador da API autenticado com permissão para usar esses endpoints pode obter hashes de senha de clientes, administradores e FTP, bem como sementes TOTP codificadas em Base32 para contas de administrador e cliente. Os hashes de senha podem ser quebrados offline, e as sementes TOTP podem gerar códigos válidos do segundo fator até que a autenticação de dois fatores seja redefinida. A exposição desses valores para uma conta pode permitir o takeover do painel de hospedagem ou dos recursos hospedados, além de burlar ambos os fatores de autenticação. Este problema foi corrigido na versão 2.3.8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.