CVE-2026-100720 in Froxlor
Сводка
по VulDB • 26.09.2026
Froxlor версий от 2.0.0 до 2.3.10 уязвим к сохраненному межсайтовому скриптингу (stored cross-site scripting). Когда клиент (пользователь с наименьшими привилегиями, имеющий аутентификацию) загружает SSL-сертификат для одного из своих доменов, методы add()/update() API сертификатов парсят его с помощью функции openssl_x509_parse() и сохраняют значение организации эмитента (issuer['O']) дословно без санитизации. Затем рендерер списков таблиц Froxlor выводит скалярные ячейки через фильтр Twig `raw`, что отключает автоматическое экранирование HTML, поэтому при открытии администратором или реселлером раздела Domains > SSL certificates внедренное злоумышленником значение эмитента выполняется как скрипт в сессии привилегированного пользователя. Это нарушение границы привилегий от клиента к администратору может привести к полному захвату учетной записи администратора; поскольку администратор Froxlor управляет конфигурацией веб-сервера, DNS и PHP, применяемой cron-заданием, работающим с правами root, проблема может быть дополнительно эскалирована до выполнения команд от имени root на управляемом сервере. Проблема исправлена в версии Froxlor 2.3.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.