CVE-2026-100718
Açıklama
Froxlor 2.3.10 ve öncesi sürümlerde, EmailSender.add API komutunda mail.allow_external_domains politikası zorunlu kılınmamaktadır. Bir yönetici, izin verilen gönderen özelliğini etkinleştirip ancak harici izin verilen gönderen etki alanlarını devre dışı bıraktığında (mail.enable_allow_sender = 1, mail.allow_external_domains = 0), API erişimine sahip kimliği doğrulanmış bir müşteri, EmailSender.add komutunu kullanarak posta kutusu için rastgele bir harici gönderen adresi kaydedebilir ve bu adres politikaya rağmen saklanır. Bu durum, kullanıcı arayüzü/yönetici yapılandırması ile API arasında bir atlatma oluşturur ve oluşturulan e-posta yapılandırmasının izin verilen gönderen tablosunu kullandığı durumlarda, müşterinin barındırılan etki alanlarının dışındaki gönderen kimliklerini yetkilendirmesine olanak tanıyarak gönderen yanıltmayı (spoofing) kolaylaştırır. 2.3.12 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- froxlor froxlor2.3.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| froxlor froxlor | v < 2.3.12 | 2.3.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.