CVE-2026-109960

Nome do Software Vulnerável e Versões Afetadas Froxlor versões 2.0.0 até 2.3.13

Descrição Existe um problema de cross-site scripting armazenado onde clientes autenticados podem injetar HTML e JavaScript. Isso ocorre ao fornecer um valor de tema malicioso através do endpoint 'customer index.php'. O script injetado é executado quando um administrador visualiza a visão geral do cliente com a coluna Theme ativada, o que pode ser usado para abusar do token CSRF (Cross-Site Request Forgery) para criar contas de administrador ou alterar configurações do servidor. CSRF é uma técnica onde um usuário é enganado para executar ações indesejadas em uma aplicação web na qual ele está autenticado no momento.

Recomendações Atualize o Froxlor para a versão 2.3.14 ou posterior.