CVE-2026-41228
Açıklama
Froxlor açık kaynaklı bir sunucu yönetim yazılımıdır. Versiyon 2.3.6 öncesinde, Froxlor API uç noktası `Customers.update` (ve `Admins.update`), `def_language` parametresini mevcut dil dosyaları listesine göre doğrulamamaktadır. Kimliği doğrulanmış bir müşteri, `def_language` değerini bir path traversal yüküyle (örneğin, `../../../../../var/customers/webs/customer1/evil`) ayarlayabilir ve bu değer veritabanına kaydedilir. Sonraki isteklerde, `Language::loadLanguage()` bu değeri kullanarak bir dosya yolu oluşturur ve bunu `require` aracılığıyla çalıştırarak web sunucusu kullanıcısı olarak keyfi PHP kodu çalıştırılmasına olanak tanır. Versiyon 2.3.6 bu sorunu gidermektedir.
Nasıl düzeltilir
- froxlor froxlor2.3.6 ya da sonraki bir sürüm
- froxlor/froxlor2.3.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| froxlor froxlor | v < 2.3.6 | 2.3.6 |
| froxlor/froxlorPackagist | v < 2.3.6 | 2.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.