CVE-2026-100718 in Froxlor
Сводка
по VulDB • 26.09.2026
Froxlor до версии 2.3.10 не применяет политику `mail.allow_external_domains` в команде API `EmailSender.add`. Когда администратор включил функцию разрешенных отправителей (`allowed-sender`), но отключил внешние разрешенные домены отправителей (установив параметры `mail.enable_allow_sender = 1`, `mail.allow_external_domains = 0`), аутентифицированный клиент с доступом к API все равно может использовать команду `EmailSender.add` для регистрации произвольного внешнего адреса отправителя для своего почтового ящика, который сохраняется в обход политики. Это создает уязвимость (bypass) между интерфейсом пользователя/конфигурацией администратора и API, что — при условии, что сгенерированная конфигурация почты использует таблицу разрешенных отправителей (`allowed-sender table`) — позволяет клиенту авторизовать тождества отправителей за пределами их размещенных доменов, облегчая спуфинг (spoofing) отправителя. Исправлено в версии 2.3.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.