CVE-2026-55593

Froxlor açık kaynaklı bir sunucu yönetim yazılımıdır. 2.3.8 sürümünden önce, bağımsız lib/ajax.php giriş noktası lib/init.php içindeki merkezi istek doğrulamasını atlamaktadır ve lib/Froxlor/Ajax/Ajax.php içindeki Ajax::handle, durum değiştiren istekleri yönlendirmeden önce yalnızca geçerli bir oturum olup olmadığını kontrol etmektedir. Ajax::editApiKey içindeki editapikey eylemi, bir CSRF belirtecini doğrulamadan allowed_from ve valid_until değerlerini güncellemektedir; bu sırada templates/Froxlor/assets/js/jquery/apikeys.js, uç nokta gerektirmediği için herhangi bir belirteç göndermemektedir. Kimliği doğrulanmamış bir saldırgan, kimliği doğrulanmış bir yöneticinin tarayıcısını, bir API anahtarının allowed_from listesine saldırgan tarafından kontrol edilen bir adres ekleyen veya son kullanma tarihini kaldıran sahte bir istek göndermeye zorlayarak anahtarın güvenlik kısıtlamalarını zayıflatabilir. Bu sorun 2.3.8 sürümünde düzeltilmiştir.