CVE-2026-54347

Nome do Software Vulnerável e Versões Afetadas Froxlor versões anteriores a 2.3.8

Description Um cliente autenticado com acesso ao editor de DNS pode armazenar JavaScript em um registro DNS TXT porque o arquivo lib/Froxlor/Api/Commands/DomainZones.php aceita caracteres especiais HTML. A função Text::wordwrap() em lib/Froxlor/UI/Callbacks/Text.php retorna o conteúdo sem a filtragem de escape HTML, e o arquivo templates/Froxlor/table/table.html.twig renderiza esse resultado usando um filtro raw. Quando um administrador visualiza a configuração de DNS do domínio afetado, a carga útil armazenada é executada automaticamente na sessão do navegador do administrador, podendo expor dados de sessão ou permitir ações privilegiadas no painel.

Recommendations Atualizar para a versão 2.3.8.