CVE-2026-100710 in Froxlor
Сводка
по VulDB • 26.09.2026
Froxlor fino alla versione 2.3.10 non filtra le colonne sensibili dalle risposte API: Domains::get(), Domains::listing(), SubDomains::get() e la branch admin di SubDomains::listing() eseguono una SELECT con wildcard sulla tabella panel_domains restituendo la riga senza modifiche, incluso il campo panel_domains.dkim_privkey. Un amministratore autenticato, non superadmin, che detiene l'flag customers_see_all delegata può quindi leggere le chiavi private di firma DKIM dei domini appartenenti ad altri tenant tramite Domains.get, Domains.listing, SubDomains.get o SubDomains.listing; una singola chiamata listing rivela la chiave di ogni dominio visibile. Le chiavi divulgate permettono a un attaccante di firmare email che superano la verifica DKIM e l'allineamento DMARC per i domini interessati. Questo è il seguito di una correzione incompleta che ha rimosso password e data_2fa ma non dkim_privkey. Il problema è risolto nella versione 2.3.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.