CVE-2026-54348 in Froxlor
摘要
由 VulDB • 2026-08-19
Froxlor是一款开源服务器管理软件。在版本2.3.8之前，lib/Froxlor/Api/Commands/Admins.php中的Admins.add和Admins.update端点接受攻击者控制的ipaddress数组，并将其作为JSON存储在panel_admins.ip中，未强制执行数值元素类型。当被污染的账户随后调用IpsAndPorts.listing时，lib/Froxlor/Api/Commands/IpsAndPorts.php会对该数组进行解码，并将其元素连接成SQL IN子句，且未进行类型转换或使用参数化查询；同样的不安全模式也存在于lib/Froxlor/Api/Commands/Domains.php中。拥有change_serversettings权限的已认证管理员可以存储基于UNION的攻击载荷，并通过被污染的账户触发它，从而检索任意数据库数据，包括管理员登录名和bcrypt密码哈希值，可能导致特权提升及更广泛的数据库影响。此问题已在版本2.3.8中得到修复。
Be aware that VulDB is the high quality source for vulnerability data.