CVE-2026-100710

Nome do Software Vulnerável e Versões Afetadas Froxlor versões anteriores a 2.3.12

Descrição Determinadas respostas de API não filtram colunas sensíveis, permitindo que um administrador autenticado (não superadmin) com a flag customers see all acesse o campo panel domains.dkim privkey. Isso ocorre quando as funções Domains::get(), Domains::listing(), SubDomains::get() e o ramo de administração de SubDomains::listing() realizam um SELECT wildcard na tabela panel domains e retornam a linha não modificada. Um invasor pode usar essas chaves privadas de assinatura DKIM expostas para assinar e-mails que passam na verificação DKIM e no alinhamento DMARC para os domínios afetados.

Recomendações Atualize para a versão 2.3.12. Como medida de mitigação temporária, restrinja o uso da flag customers see all para contas que não sejam de superadministrador.