CVE-2026-54348

Froxlor açık kaynaklı bir sunucu yönetim yazılımıdır. 2.3.8 sürümünden önce, lib/Froxlor/Api/Commands/Admins.php içindeki Admins.add ve Admins.update uç noktaları, saldırgan tarafından kontrol edilen bir ipaddress dizisini kabul eder ve sayısal öğe türlerini zorunlu kılmadan bunu panel_admins.ip içinde JSON olarak saklar. Zehirlenmiş hesap daha sonra IpsAndPorts.listing çağrısını yaptığında, lib/Froxlor/Api/Commands/IpsAndPorts.php dizinin kodunu çözer ve öğelerini tür dönüşümü veya parametreleştirme olmadan bir SQL IN yan tümcesine birleştirir; aynı güvensiz desen lib/Froxlor/Api/Commands/Domains.php içinde de mevcuttur. change_serversettings iznine sahip kimliği doğrulanmış bir yönetici, UNION tabanlı bir yükü saklayabilir ve yönetici oturum açma adları ile bcrypt parola karmaları dahil olmak üzere rastgele veritabanı verilerini almak için bunu zehirlenmiş hesap aracılığıyla tetikleyebilir; bu da olası yetki yükseltme ve daha geniş veritabanı etkisine yol açar. Bu sorun 2.3.8 sürümünde düzeltilmiştir.