CVE-2026-55593

Nome do Software Vulnerável e Versões Afetadas Froxlor versões anteriores a 2.3.8

Descrição O ponto de entrada independente 'lib/ajax.php' ignora a validação centralizada de solicitações em 'lib/init.php'. Além disso, a função Ajax::handle em 'lib/Froxlor/Ajax/Ajax.php' verifica apenas se há uma sessão válida antes de rotear solicitações de alteração de estado. Especificamente, a ação editapikey em Ajax::editApiKey atualiza as variáveis allowed from e valid until sem validar um token Cross-Site Request Forgery (CSRF)—um tipo de ataque onde um comando não autorizado é transmitido por um usuário em quem a aplicação web confia. Um invasor não autenticado pode induzir o navegador de um administrador autenticado a enviar uma solicitação forjada para adicionar um endereço controlado pelo invasor à lista allowed from de uma chave de API ou remover sua data de expiração, enfraquecendo as restrições de segurança.

Recomendações Atualizar para a versão 2.3.8.