CVE-2026-100720

Froxlor 2.0.0 və 2.3.10 versiyaları saxlanılan saytlararası skriptinq (stored XSS) boşluğuna malikdir. Müştəri (ən aşağı imtiyazlı autentifikasiya olunmuş rol) öz domenlərindən biri üçün SSL sertifikatı yüklədikdə, Certificates API-nin add()/update() metodları onu openssl_x509_parse() ilə analiz edir və emitent təşkilatın (issuer['O']) dəyərini təmizləmədən olduğu kimi saxlayır. Froxlor-un cədvəl siyahısı rendereri daha sonra skalyar xanaları Twig-in `raw` filtri vasitəsilə ötürərək HTML avto-eskapmentini deaktiv edir, beləliklə, administrator və ya reseller "Domains > SSL certificates" bölməsini açdıqda hücumkeş tərəfindən təmin edilən emitent dəyəri imtiyazlı istifadəçinin sessiyasında skript kimi icra olunur. Bu, müştəridən administratora imtiyaz sərhədini aşır və tam administrator hesabının ələ keçirilməsi ilə nəticələnə bilər; Froxlor administratoru veb-serveri, DNS-i və root olaraq işləyən cron tapşırığı tərəfindən tətbiq edilən PHP konfiqurasiyasını idarə etdiyi üçün problem idarə olunan serverdə root olaraq əmr icrasına qədər genişləndirilə bilər. Problem Froxlor 2.3.12 versiyasında düzəldilib.