CVE-2026-52793

Nome do Software Vulnerável e Versões Afetadas Froxlor versões anteriores a 2.3.7

Description O software de administração de servidores Froxlor contém um bypass de autenticação onde a API não impõe a Autenticação de Dois Fatores (2FA). Enquanto a interface web exige corretamente uma senha de uso único baseada em tempo (TOTP) para contas com 2FA habilitado, o caminho de autenticação da API em lib/Froxlor/Api/FroxlorRPC.php e a função FroxlorRPC::validateAuth() validam apenas a chave e o segredo da API. O sistema falha ao não verificar o status type 2fa, não validar um código TOTP ou não invocar a classe FroxlorTwoFactorAuth.

Um invasor que obtenha a chave e o segredo da API de uma conta protegida pode ignorar o segundo fator para acessar e modificar dados sensíveis, incluindo informações de clientes, domínios, contas de e-mail e FTP, bancos de dados, registros de DNS e chaves privadas de certificados SSL.

Recommendations Atualize o Froxlor para a versão 2.3.7. Como medida de mitigação temporária, restrinja o acesso ao endpoint api.php ou desative o uso de chaves de API para contas que possuam a autenticação de dois fatores habilitada.