PT-2026-34638 · Froxlor · Froxlor

Offset · Publicado 2026-04-16 · Atualizado 2026-04-23 · CVE-2026-41233

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L

Name of the Vulnerable Software and Affected Versions Froxlor versões anteriores a 2.3.6

Description Na função Domains.add(), o parâmetro adminid é aceito a partir da entrada do usuário sem validação quando o revendedor solicitante não possui a permissão customers see all. Isso permite que um revendedor atribua domínios recém-criados a qualquer outro administrador, ignorando sua própria cota de domínios ao incrementar o contador domains used de outro administrador, o que pode levar ao esgotamento da cota desse administrador.

Recommendations Atualizar para a versão 2.3.6.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-41233

GHSA-JVX4-XV3M-HRJ4

Produtos afetados

Froxlor

Referências · 7

• 🔥 https://github.com/froxlor/froxlor/security/advisories/GHSA-jvx4-xv3m-hrj4 · Exploit
• https://github.com/froxlor/froxlor · Nota
• https://github.com/froxlor/froxlor/commit/bf47ba15329506e9f9662f9462463932aa80dff5 · Correção
• https://github.com/froxlor/froxlor/releases/tag/2.3.6 · Nota
• https://osv.dev/vulnerability/GHSA-jvx4-xv3m-hrj4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41233 · Nota de Segurança
• https://twitter.com/CVEnew/status/2047359883066966227 · Publicação no Twitter