CVE-2026-62988

Froxlor açıq mənbəli server administrasiya proqram təminatıdır. Versiya 2.3.7-dən 2.3.8-ə qədər lib/Froxlor/Api/Commands/Customers.php, lib/Froxlor/Api/Commands/Admins.php və lib/Froxlor/Api/Commands/Ftps.php fayllarındakı Customers.get, Customers.listing, Admins.get, Admins.listing, Ftps.get və Ftps.listing API əmrləri verilənlər bazasının tam sətirlərini götürür və password və data_2fa sahələrini silmədən geri qaytarır. Bu son nöqtələrdən istifadə icazəsi olan autentifikasiya olunmuş API çağırıcısı müştəri, administrator və FTP parol heşlərini, həmçinin administrator və müştəri hesabları üçün Base32 ilə kodlaşdırılmış TOTP seed-lərini əldə edə bilər. Parol heşləri oflayn şəkildə sındırıla bilər və TOTP seed-ləri iki faktorlu autentifikasiya sıfırlanana qədər etibarlı ikinci faktor kodlarını yarada bilər. Bir hesab üçün hər iki dəyərin ifşa olunması hostinq panelinin və ya hostinq resurslarının ələ keçirilməsinə şərait yarada bilər və hər iki autentifikasiya faktorunu sıradan çıxara bilər. Bu problem 2.3.8 versiyasında düzəldilmişdir.