CVE-2026-100717

froxlor server idarəetmə panelidir. 2.3.10 və daha öncəki versiyalarda `Validate::validateUrl` funksiyası carriage return (CR) və line feed (LF) simvollarını yalnız `parse_url` tərəfindən qaytarılan yol (path), sorğu (query) və fraqment komponentlərində rədd edir və userinfo (user:pass@) komponentlərini heç vaxt yoxlamır. Bu, GHSA-c3p2 üçün natamam düzəlişdir. Subdomen yaratmaq hüququna malik olan (admin və ya change_serversettings imtiyazı tələb olunmur) autentifikasiya olunmuş aşağı səlahiyyətli müştəri, userinfo hissəsində CR/LF yükü daşıyan subdomen yönləndirmə URL-i təqdim edə bilər (məsələn, http://user%0areturn 200 "pwned";%[email protected]/). Bu dəyər validasiyadan keçir, IDNA kodlaşdırmasından sağ çıxır və yaradılmış nginx və ya Apache vhost konfiqurasiyasına olduğu kimi yazılır ki, bu da hücumçuya mövcud direktivdən çıxmağa və ixtiyari veb-server konfiqurasiya sətirləri inyeksiya etməyə imkan verir. froxlor veb-server konfiqurasiyasını root olaraq yenidən yaradır və yükləyir, buna görə də inyeksiya edilmiş direktivlər bütün server miqyasında qüvvəyə minir və cavabları ələ keçirə və ya lokal faylları oxuya bilər. Problem 2.3.12 versiyasında düzəldilmişdir.