CVE-2026-100718

Froxlor 2.3.10 versiyasına qədər olan versiyalarda EmailSender.add API əmrində mail.allow_external_domains siyasəti tətbiq edilmir. Administrator icazə verilmiş göndərənlər (allowed-sender) funksiyasını aktivləşdirdikdə, lakin kənar icazəli göndərən domenləri deaktiv etdikdə (mail.enable_allow_sender = 1, mail.allow_external_domains = 0), API girişinə malik autentifikasiya olunmuş müştəri hələ də EmailSender.add vasitəsilə öz poçt qutusu üçün istənilən kənar göndərən ünvanını qeydiyyata ala bilər və bu ünvan siyasətə baxmayaraq yadda saxlanılır. Bu, istifadəçi interfeysi/administrator konfiqurasiyası ilə API arasında yan keçmə yaradır və generatsiya edilmiş poçt konfiqurasiyası icazə verilmiş göndərən cədvəlindən istifadə etdikdə, müştəriyə öz hostinq domenlərindən kənar göndərən kimliklərini təsdiqləməyə imkan verir ki, bu da göndərənin saxtalaşdırılmasını (spoofing) asanlaşdırır. Problem 2.3.12 versiyasında düzəldilib.