CVE-2026-55593 in Froxlor
Tóm tắt
Bởi VulDB • 18/08/2026
Froxlor là phần mềm quản trị máy chủ mã nguồn mở. Trước phiên bản 2.3.8, điểm vào lib/ajax.php độc lập bỏ qua cơ chế xác thực yêu cầu tập trung trong lib/init.php, và Ajax::handle trong lib/Froxlor/Ajax/Ajax.php chỉ kiểm tra một session hợp lệ trước khi định tuyến các thay đổi trạng thái. Hành động editapikey trong Ajax::editApiKey cập nhật allowed_from và valid_until mà không xác minh CSRF token, trong đó templates/Froxlor/assets/js/jquery/apikeys.js gửi không có token vì endpoint này không yêu cầu nó. Một kẻ tấn công chưa được xác thực có thể khiến trình duyệt của một quản trị viên đã đăng nhập submit một request giả mạo để thêm địa chỉ do kẻ tấn công kiểm soát vào danh sách allowed_from của khóa API hoặc xóa thời hạn hết hạn, làm suy yếu các ràng buộc bảo mật của khóa. Vấn đề này đã được sửa trong phiên bản 2.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.