CVE-2026-100710
Açıklama
Froxlor 2.3.10 ve öncesi sürümler, API yanıtlarındaki hassas sütunları filtrelememektedir: Domains::get(), Domains::listing(), SubDomains::get() ve SubDomains::listing()'in admin dalı, panel_domains tablosu üzerinde joker karakterli bir SELECT işlemi gerçekleştirmekte ve panel_domains.dkim_privkey alanı da dahil olmak üzere satırı değiştirilmeden döndürmektedir. Bu nedenle, delegated customers_see_all bayrağına sahip kimliği doğrulanmış, superadmin olmayan bir yönetici; Domains.get, Domains.listing, SubDomains.get veya SubDomains.listing aracılığıyla diğer kiracılara ait alan adlarının DKIM özel imzalama anahtarlarını okuyabilir ve tek bir listeleme çağrısı ile görünür olan tüm alan adlarının anahtarını ifşa edebilir. İfşa edilen anahtarlar, bir saldırganın etkilenen alan adları için DKIM doğrulamasını ve DMARC hizalamasını geçen e-postaları imzalamasına olanak tanır. Bu durum, parola ve data_2fa bilgilerini kaldıran ancak dkim_privkey bilgisini kaldırmayan eksik bir düzeltmenin devamıdır. Sorun 2.3.12 sürümünde giderilmiştir.
Nasıl düzeltilir
- froxlor froxlor2.3.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| froxlor froxlor | v < 2.3.12 | 2.3.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.