Zaloguj się
Deutsch English Español Polski
Wysoka

Froxlor username/surname AND company field Bypass

  • Ujawniono: 04.01.2024
  • Aktualizacja: 11.10.2026 10:22

Dear Sirs and Madams,

I would like to report a business logic error vulnerability that I discovered during my recent penetration test on Froxlor.

Specifically, I identified an issue where it was possible to submit the registration form with the essential fields, such as the username and password, left intentionally blank. This inadvertent omission allowed for a bypass of the mandatory field requirements established by the system.

The surname, family name AND company name all of them can be left blank.

I believe addressing this vulnerability is crucial to ensure the security and integrity of the Froxlor platform.

Thank you for your attention to this matter.

This action served as a means to bypass the mandatory field requirements.

Lets see (please have a look at the Video -> attachment).

as you can see i was able to let the username and second name blank.

https://user-images.githubusercontent.com/80028768/289675319-81ae8ebe-1308-4ee3-bedb-43cdc40da474.mp4

Lets see again.

Only the company name is set.

Thank you for your time

Froxlor 2 Froxlor 1

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer froxlor/froxlor < 2.1.2 2.1.2

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Słabość (CWE)
CWE-20
Platforma
Composer
Paczka
froxlor/froxlor
Ujawniono
04.01.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-625g-fm5w-w7w4 - CC BY 4.0

Historia podatności: froxlor/froxlor

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
04.2022 08.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 21
  • Średnia 26
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Krytyczna · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Wysoka · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Wysoka · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Wysoka · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Wysoka · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Wysoka CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Wysoka · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Wysoka · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Krytyczna · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Krytyczna · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Wysoka · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Wysoka · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Wysoka · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Krytyczna · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Wysoka · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  16. Blind XSS Leading to Froxlor Application Compromise
    Krytyczna · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  17. Froxlor username/surname AND company field Bypass ten wpis
    Wysoka · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  18. Froxlor Improper Input Validation vulnerability
    Krytyczna · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  19. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Krytyczna · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  20. Froxlor vulnerable to Path Traversal
    Wysoka · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
  21. Froxlor vulnerable to Improper Restriction of Excessive Authentication Attempts
    Krytyczna · 9.8 CVE-2023-3173 < 2.0.20 2.0.20
  22. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type
    Krytyczna · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  23. Froxlor is vulnerable to authentication bypass
    Krytyczna · 9.8 CVE-2023-1307 < 2.0.13 2.0.13
  24. Froxlor Cross-Site Request Forgery vulnerability
    Wysoka · 8.8 CVE-2023-1033 < 2.0.11 2.0.11
  25. Code Injection in froxlor/froxlor
    Wysoka · 8.8 CVE-2023-0877 < 2.0.11 2.0.11
  26. froxlor is vulnerable to privilege escalation from customer to root via directory-options
    Wysoka · 8.8 CVE-2023-0671 < 2.0.10 2.0.10
  27. Froxlor contains Weak Password Requirements
    Wysoka · 7.5 CVE-2023-0564 < 2.0.10 2.0.10
  28. Froxlor vulnerable to Command Injection
    Wysoka · 8.8 CVE-2023-0315 < 2.0.8 2.0.8
  29. Froxlor SQL injection vulnerability
    Krytyczna · 9.8 CVE-2021-42325 < 0.10.30 0.10.30
  30. Froxlor arbitrary code execution via the database configuration options
    Wysoka · 8.8 CVE-2020-10235 < 0.10.14 0.10.14
  31. Froxlor guessable password reset token
    Krytyczna · 9.8 CVE-2016-5100 < 0.9.35 0.9.35
  32. Froxlor Incorrect Access Control
    Wysoka · 7.5 CVE-2018-12642 < 0.9.40 0.9.40
  33. Froxlor PHP Object Injection vulnerability
    Wysoka · 7.2 CVE-2018-1000527 < 0.9.40 0.9.40

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.