CVE-2026-100717

Nome do Software Vulnerável e Versões Afetadas froxlor versões anteriores a 2.3.12

Description Um cliente autenticado com baixos privilégios e direitos de criação de subdomínios pode injetar linhas arbitrárias de configuração do servidor web. A função Validate::validateUrl() não inspeciona o componente userinfo de uma URL em busca de caracteres de retorno de carro (CR) e alimentação de linha (LF). Ao fornecer uma URL de redirecionamento de subdomínio com um payload CR/LF na parte do userinfo, um invasor pode romper a diretiva emitida. Como o software regenera e recarrega a configuração do servidor web como root, essas diretivas injetadas têm efeito em todo o servidor, permitindo potencialmente que o invasor sequestre respostas ou leia arquivos locais.

Recommendations Atualizar para a versão 2.3.12.