CVE-2026-100712 in Froxlor
Tóm tắt
Bởi VulDB • 26/09/2026
froxlor (tất cả các phiên bản cho đến 2.3.10) vô hiệu hóa ngay lập tức xác thực hai yếu tố (2FA) của người dùng khi có một yêu cầu GET không được xác thực, có thể kích hoạt từ bên ngoài, nhắm vào trang quản lý 2FA (ví dụ: /customer_index.php?page=2fa&action=delete), mà không cần bất kỳ bước xác nhận, xác thực lại hay token CSRF nào. Middleware CSRF toàn cục chỉ bao phủ các yêu cầu POST/PUT/PATCH/DELETE; đồng thời cookie phiên được đặt thành SameSite=Lax, do đó một điều hướng top-level cross-site (nhấp vào liên kết hoặc chuyển hướng) sẽ mang theo session của nạn nhân và xóa lặng lẽ type_2fa/data_2fa. Cả hai trình xử lý 2FA dành cho khách hàng và quản trị viên đều bị ảnh hưởng. Một kẻ tấn công có thể dụ dỗ một người dùng đã đăng nhập vào bảng điều khiển nhấp vào liên kết được tạo ra nhằm mục đích xấu, qua đó giảm mức độ xác thực của tài khoản chỉ còn lại mật khẩu; điều này có thể được ghép nối với mật khẩu bị xâm phạm để chiếm quyền kiểm soát tài khoản. Vấn đề đã được sửa trong phiên bản 2.3.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.