CVE-2026-55593 in Froxlor
摘要
由 VulDB • 2026-08-18
Froxlor是一款开源服务器管理软件。在版本2.3.8之前，独立的lib/ajax.php入口点绕过了lib/init.php中的集中式请求验证机制，且lib/Froxlor/Ajax/Ajax.php中的Ajax::handle方法仅在路由状态变更请求前检查会话是否有效。Ajax::editApiKey操作中的editapikey动作会更新allowed_from和valid_until字段，但未进行CSRF令牌验证；与此同时，templates/Froxlor/assets/js/jquery/apikeys.js在发送请求时未包含任何令牌，因为该端点不要求提供令牌。未经身份验证的攻击者可以诱导已认证管理员的浏览器提交伪造的请求，从而将攻击者控制的地址添加到API密钥的allowed_from列表中或移除其过期时间，削弱了密钥的安全限制。此问题已在版本2.3.8中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.