CVE-2026-54348

Froxlor açıq mənbəli server administrasiyası proqram təminatıdır. Versiya 2.3.8-dən əvvəl, lib/Froxlor/Api/Commands/Admins.php faylındakı Admins.add və Admins.update son nöqtələri hücum edən tərəf tərəfindən idarə olunan ipaddress massivini qəbul edir və rəqəm tipli elementlərin yoxlanılmasını təmin etmədən onu panel_admins.ip cədvəlində JSON formatında saxlayır. Zəhərlənmiş hesab daha sonra IpsAndPorts.listing funksiyasını çağırdıqda, lib/Froxlor/Api/Commands/IpsAndPorts.php massivi dekodlaşdırır və onun elementlərini tip çevirməsi və ya parametrləşdirmə olmadan SQL IN bəndinə birləşdirir; eyni təhlükəli struktur lib/Froxlor/Api/Commands/Domains.php faylında da mövcuddur. change_serversettings icazəsinə malik autentifikasiya olunmuş administrator UNION əsaslı payload saxlaya və zəhərlənmiş hesab vasitəsilə onu tetikleyərək administrator giriş adları və bcrypt parol heşləri də daxil olmaqla verilənlər bazasından istənilən məlumatları əldə edə bilər ki, bu da imtiyazların yüksəldilməsi və verilənlər bazasına daha geniş təsir göstərmə potensialına malikdir. Bu problem 2.3.8 versiyasında düzəldilmişdir.