CVE-2026-113677

Nome do Software Vulnerável e Versões Afetadas Froxlor versões 0.10.0 até 2.3.14

Descrição Uma falha de autorização existe no endpoint de API 'SubDomains.delete'. Clientes autenticados podem explorar isso fornecendo um id de domínio principal para excluir domínios principais provisionados por revendedores. Isso permite que invasores ignorem as restrições da interface web para remover domínios e orfanizar registros de vhost, DNS e subdomínios. Além disso, isso pode ser usado para manipular a variável subdomains used para um valor abaixo de zero, concedendo permissão extra de subdomínios não autorizada.

Recomendações Atualize o Froxlor para a versão 2.3.15 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint de API 'SubDomains.delete'.