CVE-2026-41230
Açıklama
Froxlor açık kaynaklı bir sunucu yönetim yazılımıdır. Versiyon 2.3.6 öncesinde, `DomainZones::add()` fonksiyonu herhangi bir beyaz liste olmaksızın rastgele DNS kayıt türlerini kabul etmekte ve `content` alanındaki yeni satır karakterlerini temizlememektedir. if/elseif doğrulama zinciri tarafından kapsanmayan bir DNS türü (örneğin `NAPTR`, `PTR`, `HINFO`) gönderildiğinde, içerik doğrulaması tamamen atlanmaktadır. İçerikte yer alan gömülü yeni satır karakterleri `trim()` işleminden sağ çıkmakta, veritabanına kaydedilmekte ve `DnsEntry::__toString()` aracılığıyla doğrudan BIND bölge dosyalarına yazılmaktadır. Kimliği doğrulanmış bir müşteri, kendi etki alanının bölge dosyasına rastgele DNS kayıtları ve BIND direktifleri (`$INCLUDE`, `$ORIGIN`, `$GENERATE`) enjekte edebilir. Versiyon 2.3.6 bu sorunu gidermektedir.
Nasıl düzeltilir
- froxlor froxlor2.3.6 ya da sonraki bir sürüm
- froxlor/froxlor2.3.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| froxlor froxlor | v < 2.3.6 | 2.3.6 |
| froxlor/froxlorPackagist | v < 2.3.6 | 2.3.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.