CVE-2026-62988

Froxlor açık kaynak sunucu yönetim yazılımıdır. 2.3.7 sürümünden 2.3.8 sürümüne kadar, lib/Froxlor/Api/Commands/Customers.php, lib/Froxlor/Api/Commands/Admins.php ve lib/Froxlor/Api/Commands/Ftps.php dosyalarındaki Customers.get, Customers.listing, Admins.get, Admins.listing, Ftps.get ve Ftps.listing API komutları tam veritabanı satırlarını alır ve password ile data_2fa alanlarını kaldırmadan döndürür. Bu uç noktaları kullanma iznine sahip kimliği doğrulanmış bir API çağırıcısı, müşteri, yönetici ve FTP parola karmalarının yanı sıra yönetici ve müşteri hesapları için Base32 ile kodlanmış TOTP tohumlarını elde edebilir. Parola karmaları çevrimdışı olarak kırılabilir ve TOTP tohumları, iki faktörlü kimlik doğrulama sıfırlanana kadar geçerli ikinci faktör kodları üretebilir. Bir hesap için her iki değerin de açığa çıkması, barındırma panelinin veya barındırılan kaynakların ele geçirilmesine olanak tanıyabilir ve her iki kimlik doğrulama faktörünü de etkisiz kılabilir. Bu sorun 2.3.8 sürümünde düzeltilmiştir.