CVE-2026-100709

Nome do Software Vulnerável e Versões Afetadas Froxlor versões anteriores a 2.3.12

Description O software armazena apenas um ID de usuário numérico em tokens 2FA lembrados em panel 2fa tokens sem registrar o namespace da conta. Durante o login, a busca pelo token lembrado não é restringida ao tipo de conta de cliente ou administrador. Como os IDs de clientes e administradores são alocados em namespaces separados, um token emitido a um cliente com um ID específico pode coincidir com um administrador com o mesmo ID. Um invasor que controle uma conta de cliente com um ID colidente, possua um cookie 2FA lembrado válido e conheça a senha do administrador alvo pode ignorar o segundo fator de senha única baseada em tempo (TOTP) para obter uma sessão de administrador autenticada. Este problema é um bypass do segundo fator e não anula a autenticação por senha.

Recommendations Atualize para a versão 2.3.12.