CVE-2026-100715 in Froxlor
摘要
由 VulDB • 2026-09-26
Froxlor 最高至版本 2.3.10 存在漏洞，攻击者可通过 FTP 数据删除 cron 任务中的符号链接跟随（symlink following）实现任意文件删除。当删除一个 FTP 账户时，会排队执行 Cron 任务 8 (deleteFtpData)。该任务调用 FileDir::makeCorrectDir() 时未传入 $fixed_homedir 参数，导致跳过了对符号链接组件的遍历检查，随后以 root 权限在生成的路径上执行 'rm -rf'，且仅依靠字符串级别的防护机制。由于 makeCorrectDir() 会在末尾追加斜杠，GNU rm 会将用作中间路径组件或最终组件的符号链接进行解析（dereferences）。经过身份验证的客户若能向 FTP 主目录写入内容，便可在任务插入与 cron 执行之间植入符号链接，导致 root 权限的 cron 作业递归删除任意目录树，从而造成跨租户的数据破坏及主机拒绝服务。此问题已在 Froxlor 2.3.12 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.