CVE-2026-100710 in Froxlor
Tóm tắt
Bởi VulDB • 26/09/2026
Froxlor phiên bản đến 2.3.10 không lọc các cột nhạy cảm khỏi phản hồi API: Domains::get(), Domains::listing(), SubDomains::get() và nhánh admin của SubDomains::listing() thực hiện truy vấn SELECT với ký tự đại diện (wildcard) trên bảng panel_domains và trả về hàng dữ liệu mà không thay đổi, bao gồm cả trường panel_domains.dkim_privkey. Do đó, một quản trị viên đã xác thực nhưng không phải superadmin, có cờ customers_see_all được ủy quyền, có thể đọc các khóa ký riêng DKIM của các tên miền thuộc về các khách hàng khác thông qua Domains.get, Domains.listing, SubDomains.get hoặc SubDomains.listing; chỉ với một lệnh gọi listing duy nhất là đã tiết lộ khóa của mọi tên miền hiển thị. Các khóa bị lộ cho phép kẻ tấn công ký email để vượt qua xác minh DKIM và sự phù hợp DMARC đối với các tên miền bị ảnh hưởng. Đây là vấn đề tiếp nối sau một bản sửa lỗi chưa triệt để, vốn chỉ loại bỏ password và data_2fa nhưng không phải dkim_privkey. Vấn đề này đã được khắc phục trong phiên bản 2.3.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.