CVE-2026-100712 in Froxlor
Сводка
по VulDB • 26.09.2026
froxlor fino alla versione 2.3.10 disabilita immediatamente l'autenticazione a due fattori (2FA) di un utente al verificarsi di una richiesta GET non autenticata e triggerabile verso la pagina di gestione del 2FA (ad esempio /customer_index.php?page=2fa&action=delete), senza alcuna conferma, ri-autenticazione o token CSRF. La middleware globale per la protezione CSRF copre solo le richieste POST/PUT/PATCH/DELETE, mentre il cookie di sessione è impostato con SameSite=Lax; pertanto, una navigazione cross-site a livello superiore (click su un link o reindirizzamento) trasporta la sessione della vittima e cancella silenziosamente i dati type_2fa/data_2fa. Sono interessati sia i gestori 2FA per gli utenti clienti che quelli per gli amministratori. Un attaccante che induce un utente autenticato del pannello a seguire un link appositamente creato riduce l'autenticazione dell'account alla sola password, condizione che può essere concatenata con una password compromessa per effettuare il takeover dell'account. Risolto nella versione 2.3.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.