PT-2026-22840 · Froxlor · Froxlor

Moonster8282 · Publicado 2026-03-03 · Atualizado 2026-03-23 · CVE-2026-26279

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Froxlor anteriores a 2.3.4

Descrição O Froxlor é um software de administração de servidor de código aberto. Uma falha no código de validação de entrada, especificamente um erro de digitação onde '==' foi usado em vez de '=', desativa a verificação do formato de email para campos de configuração declarados como tipo email. Isso permite que um administrador autenticado armazene strings arbitrárias na configuração panel.adminmail. Esse valor é então utilizado em um comando shell executado como root por um cron job, onde o caractere de pipe '|' é explicitamente liberado, resultando em execução remota de código.

Recomendações Atualize para a versão 2.3.4 para resolver este problema.

Exploit

Correção

LPE

RCE

OS Command Injection

Enumeração de Fraquezas

CWE-78

CWE-482

Identificadores relacionados

CVE-2026-26279

GHSA-33MP-8P67-XJ7C

Produtos afetados

Froxlor

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/26xxx/CVE-2026-26279.json · Exploit
• https://github.com/froxlor/froxlor · Nota
• https://github.com/froxlor/Froxlor/security/advisories/GHSA-33mp-8p67-xj7c · Aviso do Fabricante
• https://github.com/froxlor/froxlor/commit/22249677107f8f39f8d4a238605641e87dab4343 · Correção
• https://github.com/froxlor/froxlor/releases/tag/2.3.4 · Nota
• https://twitter.com/PentesterLab/status/2035911149921951846 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2029075256803987521 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-26279 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-33mp-8p67-xj7c · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2028974434002805019 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2028979109049549022 · Publicação no Twitter
• https://twitter.com/pulsepatchio/status/2029571645673705480 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-26279 · Nota de Segurança
• https://t.me/CVEtracker/46254 · Publicação no Telegram
• https://twitter.com/TheHackerWire/status/2029101809294516563 · Publicação no Twitter