PT-2026-77300
CVE-2026-54348
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-08-19
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Froxlor الأقدم من 2.3.8
الوصف
يمكن للمسؤول المصادق عليه الذي يمتلك صلاحية
change serversettings تنفيذ هجوم حقن SQL. تقبل نقاط النهاية ’Admins.add‘ و'Admins.update' الموجودة في lib/Froxlor/Api/Commands/Admins.php مصفوفة ipaddress التي يتحكم فيها المهاجم وتخزنها بتنسيق JSON في panel admins.ip دون فرض أنواع عناصر رقمية. وعندما يقوم الحساب المتأثر لاحقًا باستدعاء «IpsAndPorts.listing» في lib/Froxlor/Api/Commands/IpsAndPorts.php أو وظائف داخل lib/Froxlor/Api/Commands/Domains.php، يتم فك تشفير المصفوفة وربطها في جملة SQL IN دون تحويل أو تحديد المعلمات. وهذا يسمح باستخدام حمولة قائمة على UNION لاسترداد معلومات عشوائية من قاعدة البيانات، مثل أسماء تسجيل دخول المسؤولين وتجزئات كلمات المرور bcrypt، مما قد يؤدي إلى تصعيد الامتيازات.التوصيات
التحديث إلى الإصدار 2.3.8.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾