Anmelden
Deutsch English Español Polski
Kritisch

Froxlor guessable password reset token

  • Veröffentlicht: 17.05.2022
  • Aktualisiert: 11.10.2026 10:22

Froxlor before 0.9.35 uses the PHP rand function for random number generation, which makes it easier for remote attackers to guess the password reset token by predicting a value.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket froxlor/froxlor < 0.9.35 0.9.35

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-330
Plattform
Composer
Paket
froxlor/froxlor
Veröffentlicht
17.05.2022
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-qj6h-m7xc-r2v3 - CC BY 4.0

Schwachstellenhistorie: froxlor/froxlor

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (60) im Archiv
Einträge insgesamt
60
Erste → letzte
04.2022 08.2026
Ohne Fix
3
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 12
  • Hoch 21
  • Mittel 26
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Kritisch · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Hoch · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Hoch · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Hoch · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Hoch · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Hoch CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Hoch · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Hoch · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Kritisch · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Kritisch · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Hoch · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Hoch · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Hoch · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Kritisch · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Hoch · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  16. Blind XSS Leading to Froxlor Application Compromise
    Kritisch · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  17. Froxlor username/surname AND company field Bypass
    Hoch · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  18. Froxlor Improper Input Validation vulnerability
    Kritisch · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  19. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Kritisch · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  20. Froxlor vulnerable to Path Traversal
    Hoch · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
  21. Froxlor vulnerable to Improper Restriction of Excessive Authentication Attempts
    Kritisch · 9.8 CVE-2023-3173 < 2.0.20 2.0.20
  22. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type
    Kritisch · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  23. Froxlor is vulnerable to authentication bypass
    Kritisch · 9.8 CVE-2023-1307 < 2.0.13 2.0.13
  24. Froxlor Cross-Site Request Forgery vulnerability
    Hoch · 8.8 CVE-2023-1033 < 2.0.11 2.0.11
  25. Code Injection in froxlor/froxlor
    Hoch · 8.8 CVE-2023-0877 < 2.0.11 2.0.11
  26. froxlor is vulnerable to privilege escalation from customer to root via directory-options
    Hoch · 8.8 CVE-2023-0671 < 2.0.10 2.0.10
  27. Froxlor contains Weak Password Requirements
    Hoch · 7.5 CVE-2023-0564 < 2.0.10 2.0.10
  28. Froxlor vulnerable to Command Injection
    Hoch · 8.8 CVE-2023-0315 < 2.0.8 2.0.8
  29. Froxlor SQL injection vulnerability
    Kritisch · 9.8 CVE-2021-42325 < 0.10.30 0.10.30
  30. Froxlor arbitrary code execution via the database configuration options
    Hoch · 8.8 CVE-2020-10235 < 0.10.14 0.10.14
  31. Froxlor guessable password reset token dieser Eintrag
    Kritisch · 9.8 CVE-2016-5100 < 0.9.35 0.9.35
  32. Froxlor Incorrect Access Control
    Hoch · 7.5 CVE-2018-12642 < 0.9.40 0.9.40
  33. Froxlor PHP Object Injection vulnerability
    Hoch · 7.2 CVE-2018-1000527 < 0.9.40 0.9.40

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.