PT-2026-111557 · Froxlor+1 · Froxlor
CVSS v4.0
5.3
Média
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Froxlor versões 0.10.0 até 2.3.13
Descrição
A falta de autorização permite que contas de revendedor acessem configurações de servidor MySQL e cronjob destinadas apenas a administradores totais. Isso é feito por meio de comandos de leitura de API através do endpoint 'api.php'. Especificamente, revendedores podem chamar as funções
MysqlServer.listing(), MysqlServer.get() ou Cronjobs.listing() para obter dados sensíveis, incluindo nomes de usuário de gerenciamento, hosts, portas, configurações de TLS e metadados de cron.Recomendações
Atualize o Froxlor para a versão 2.3.14 ou posterior.
Exploit
Correção
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Froxlor