CVE-2026-41229

Kritik

Açıklama

Froxlor açık kaynaklı bir sunucu yönetim yazılımıdır. Versiyon 2.3.6 öncesinde, `PhpHelper::parseArrayToString()` fonksiyonu dize değerlerini tek tırnakları kaçırmadan (escaping yapmadan) tek tırnaklı PHP dize sabitlerine yazar. `change_serversettings` yetkisine sahip bir yönetici, API üzerinden bir MySQL sunucusu eklediğinde veya güncellediğinde, girdi doğrulaması yapılmayan `privileged_user` parametresi `lib/userdata.inc.php` dosyasına kaçırılmamış şekilde yazılır. Bu dosya her istekte `Database::getDB()` aracılığıyla `require` edildiği için, bir saldırgan sonraki her sayfa yüklemesinde web sunucusu kullanıcısı olarak çalışacak rastgele PHP kodu enjekte edebilir. Versiyon 2.3.6 bir yama içermektedir.

ÖnemKritik

CVSS9.1

İstismar olasılığı—

ÜrünFroxlor

Yayın23 Nis 2026

İlk görülme23 Nis 2026

Zayıflık türüCWE-94Kod enjeksiyonu

Nasıl düzeltilir

Güncelleyin

froxlor froxlor2.3.6 ya da sonraki bir sürüm
froxlor/froxlor2.3.6 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
froxlor froxlor	v < 2.3.6	2.3.6
froxlor/froxlorPackagist	v < 2.3.6	2.3.6

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.