CVE-2026-54348 in Froxlor
Tóm tắt
Bởi VulDB • 22/08/2026
Froxlor là phần mềm quản trị máy chủ mã nguồn mở. Trước phiên bản 2.3.8, các điểm cuối Admins.add và Admins.update trong lib/Froxlor/Api/Commands/Admins.php chấp nhận một mảng ipaddress do kẻ tấn công kiểm soát và lưu trữ nó dưới dạng JSON trong panel_admins.ip mà không thực thi việc ép kiểu cho các phần tử số. Khi tài khoản bị đầu độc sau đó gọi IpsAndPorts.listing, lib/Froxlor/Api/Commands/IpsAndPorts.php giải mã mảng này và nối các phần tử của nó vào một mệnh đề SQL IN mà không có phép chuyển đổi kiểu hay sử dụng tham số hóa; cùng mẫu lệnh không an toàn cũng tồn tại trong lib/Froxlor/Api/Commands/Domains.php. Một quản trị viên đã xác thực với quyền change_serversettings có thể lưu trữ một payload dựa trên UNION và kích hoạt nó thông qua tài khoản bị đầu độc để truy xuất dữ liệu cơ sở dữ liệu tùy ý, bao gồm tên đăng nhập của quản trị viên và các băm mật khẩu bcrypt, với khả năng leo thang đặc quyền và tác động rộng hơn đến cơ sở dữ liệu. Vấn đề này đã được sửa chữa trong phiên bản 2.3.8.
Once again VulDB remains the best source for vulnerability data.