Zaloguj się
Deutsch English Español Polski
Wysoka

Froxlor arbitrary code execution via the database configuration options

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 10:22

An issue was discovered in Froxlor before 0.10.14. Remote attackers with access to the installation routine could have executed arbitrary code via the database configuration options that were passed unescaped to exec, because of _backupExistingDatabase in install/lib/class.FroxlorInstall.php.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer froxlor/froxlor < 0.10.14 0.10.14

Odnośniki

Ocena CVSS 8.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-20, CWE-78
Platforma
Composer
Paczka
froxlor/froxlor
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p29c-jpgj-v57r - CC BY 4.0

Historia podatności: froxlor/froxlor

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
04.2022 08.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 21
  • Średnia 26
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Krytyczna · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Wysoka · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Wysoka · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Wysoka · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Wysoka · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Wysoka CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Wysoka · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Wysoka · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Krytyczna · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Krytyczna · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Wysoka · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Wysoka · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Wysoka · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Krytyczna · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Wysoka · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  16. Blind XSS Leading to Froxlor Application Compromise
    Krytyczna · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  17. Froxlor username/surname AND company field Bypass
    Wysoka · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  18. Froxlor Improper Input Validation vulnerability
    Krytyczna · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  19. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Krytyczna · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  20. Froxlor vulnerable to Path Traversal
    Wysoka · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
  21. Froxlor vulnerable to Improper Restriction of Excessive Authentication Attempts
    Krytyczna · 9.8 CVE-2023-3173 < 2.0.20 2.0.20
  22. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type
    Krytyczna · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  23. Froxlor is vulnerable to authentication bypass
    Krytyczna · 9.8 CVE-2023-1307 < 2.0.13 2.0.13
  24. Froxlor Cross-Site Request Forgery vulnerability
    Wysoka · 8.8 CVE-2023-1033 < 2.0.11 2.0.11
  25. Code Injection in froxlor/froxlor
    Wysoka · 8.8 CVE-2023-0877 < 2.0.11 2.0.11
  26. froxlor is vulnerable to privilege escalation from customer to root via directory-options
    Wysoka · 8.8 CVE-2023-0671 < 2.0.10 2.0.10
  27. Froxlor contains Weak Password Requirements
    Wysoka · 7.5 CVE-2023-0564 < 2.0.10 2.0.10
  28. Froxlor vulnerable to Command Injection
    Wysoka · 8.8 CVE-2023-0315 < 2.0.8 2.0.8
  29. Froxlor SQL injection vulnerability
    Krytyczna · 9.8 CVE-2021-42325 < 0.10.30 0.10.30
  30. Froxlor arbitrary code execution via the database configuration options ten wpis
    Wysoka · 8.8 CVE-2020-10235 < 0.10.14 0.10.14
  31. Froxlor guessable password reset token
    Krytyczna · 9.8 CVE-2016-5100 < 0.9.35 0.9.35
  32. Froxlor Incorrect Access Control
    Wysoka · 7.5 CVE-2018-12642 < 0.9.40 0.9.40
  33. Froxlor PHP Object Injection vulnerability
    Wysoka · 7.2 CVE-2018-1000527 < 0.9.40 0.9.40

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.