CVE-2026-100717

froxlor bir sunucu yönetim panelidir. 2.3.10 ve önceki sürümlerde, Validate::validateUrl fonksiyonu satır başı (carriage return) ve satır besleme (line feed) karakterlerini yalnızca parse_url tarafından döndürülen yol (path), sorgu (query) ve fragman (fragment) bileşenlerinde reddetmekte ve userinfo (user:pass@) bileşenlerini hiçbir zaman denetlememektedir. Bu durum, GHSA-c3p2 için eksik bir düzeltmedir. Alt alan adı oluşturma haklarına sahip (admin veya change_serversettings yetkisi gerekmeyen), kimliği doğrulanmış düşük yetkili bir müşteri, userinfo kısmında CR/LF yükü taşıyan bir alt alan adı yönlendirme URL'si sağlayabilir (örneğin http://user%0areturn 200 "pwned";%[email protected]/). Değer doğrulamadan geçer, IDNA kodlamasından sağ çıkar ve oluşturulan nginx veya Apache vhost yapılandırmasına olduğu gibi yazılır; bu da saldırganın yayınlanan direktiften çıkmasına ve rastgele web sunucusu yapılandırma satırları eklemesine olanak tanır. froxlor, web sunucusu yapılandırmasını root olarak yeniden oluşturup yeniden yüklediği için, eklenen direktifler sunucu genelinde etkili olur ve yanıtların ele geçirilmesine veya yerel dosyaların okunmasına neden olabilir. Sorun 2.3.12 sürümünde düzeltilmiştir.