CVE-2026-100709
Açıklama
Froxlor 2.3.10 ve öncesi sürümler, hatırlanan-2FA belirteçlerinde (panel_2fa_tokens) hesap ad alanını kaydetmeden yalnızca sayısal bir kullanıcı kimliği saklar ve giriş sırasındaki hatırlanan-belirteç sorgusu müşteri veya yönetici hesap türüyle sınırlandırılmamıştır. Müşteri ve yönetici kimlikleri ayrı ad alanlarından tahsis edildiği için, belirli bir kimliğe sahip müşteriye yasal olarak verilen bir hatırlanan-2FA belirteci, aynı kimliğe sahip bir yöneticiyle de eşleşir. Çakışan bir kimliğe sahip bir müşteri hesabını kontrol eden, bunun için geçerli bir hatırlanan-2FA çerezine sahip olan ve hedef yöneticinin şifresini halihazırda bilen bir saldırgan, yöneticinin TOTP ikinci faktörünü atlayabilir ve kimliği doğrulanmış bir yönetici oturumu elde edebilir. Bu durum yalnızca bir ikinci faktör atlatmadır; parola kimlik doğrulamasını devre dışı bırakmaz. 2.3.12 sürümünde düzeltildi.
Nasıl düzeltilir
- froxlor froxlor2.3.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| froxlor froxlor | v < 2.3.11 | 2.3.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.