CVE-2026-100720

Froxlor 2.0.0 ile 2.3.10 arasındaki sürümler, saklanan siteler arası betik çalıştırma (stored XSS) zafiyetine sahiptir. Bir müşteri (en düşük yetkili kimliği doğrulanmış rol), kendi alan adlarından biri için bir SSL sertifikası yüklediğinde, Certificates API add()/update() metodları bunu openssl_x509_parse() ile ayrıştırır ve yayıncı kuruluş (issuer['O']) değerini herhangi bir temizleme işlemi yapmadan olduğu gibi saklar. Froxlor'un tablo listeleme oluşturucusu daha sonra skaler hücreleri Twig'in `raw` filtresi aracılığıyla yayarak HTML otomatik kaçış işlemini devre dışı bırakır; böylece bir yönetici veya bayi Domains > SSL certificates bölümünü açtığında, saldırgan tarafından sağlanan yayıncı değeri ayrıcalıklı kullanıcının oturumunda betik olarak çalıştırılır. Bu durum, müşteriden yöneticiye bir yetki sınırı aşımına neden olur ve tam yönetici hesabı ele geçirilmesiyle sonuçlanabilir; bir Froxlor yöneticisi, root olarak çalışan bir cron işi tarafından uygulanan web sunucusu, DNS ve PHP yapılandırmalarını kontrol ettiği için sorun, yönetilen sunucuda root olarak komut çalıştırılmasına kadar yükseltilebilir. Sorun Froxlor 2.3.12 sürümünde düzeltilmiştir.