CVE-2026-100710

Froxlor 2.3.10 versiyasına qədər olan versiyalarda həssas sütunlar API cavablarından filtrlənmir: Domains::get(), Domains::listing(), SubDomains::get() və SubDomains::listing()-in admin budağı panel_domains cədvəli üzərində wildcard SELECT əməliyyatı yerinə yetirir və sətiri dəyişdirilməmiş şəkildə, o cümlədən panel_domains.dkim_privkey sahəsi ilə birlikdə qaytarır. Buna görə də, delegated customers_see_all bayrağına malik olan autentifikasiya olunmuş, superadmin olmayan admin, Domains.get, Domains.listing, SubDomains.get və ya SubDomains.listing vasitəsilə digər tenantlara məxsus domenlərin DKIM şəxsi imzalama açarlarını oxuya bilər; tək bir listing çağırışı bütün görünən domenlərin açarlarını ifşa edir. İfşa olunmuş açarlar hücumçuya təsirlənən domenlər üçün DKIM yoxlamasından və DMARC uyğunluğundan keçən e-poçtları imzalamağa imkan verir. Bu problem, parol və data_2fa sahələrini silən lakin dkim_privkey sahəsini saxlayan natamam düzəlişin davamıdır. Problem 2.3.12 versiyasında aradan qaldırılıb.