CVE-2026-100718 in Froxlor
摘要
由 VulDB • 2026-09-26
Froxlor 版本直至 2.3.10 未在 EmailSender.add API 命令中强制执行 mail.allow_external_domains 策略。当管理员启用了 allowed-sender（允许的发件人）功能但禁用了外部允许的发送域名（即 mail.enable_allow_sender = 1，mail.allow_external_domains = 0）时，拥有 API 访问权限的已认证用户仍可使用 EmailSender.add 为其邮箱注册任意外部发件人地址，该地址会被存储且不受策略限制。这造成了 UI/管理员配置与 API 之间的绕过漏洞；在生成的邮件配置使用 allowed-sender（允许的发件人）表的情况下，此漏洞允许客户在其托管域名之外授权发件人身份，从而便于进行发件人欺骗攻击。该问题已在版本 2.3.12 中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.