Anmelden
Deutsch English Español Polski
Kritisch

froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type

  • Veröffentlicht: 14.04.2023
  • Aktualisiert: 11.10.2026 10:22

Image files uploaded in froxlor/froxlor prior to 2.0.14 were not properly validated which could result in remote code execution via path manipulation.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket froxlor/froxlor < 2.0.14 2.0.14

Verweise

CVSS-Wert 9.1/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Schwäche (CWE)
CWE-434
Plattform
Composer
Paket
froxlor/froxlor
Veröffentlicht
14.04.2023
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-qwvp-g9j7-28f6 - CC BY 4.0

Schwachstellenhistorie: froxlor/froxlor

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (60) im Archiv
Einträge insgesamt
60
Erste → letzte
04.2022 08.2026
Ohne Fix
3
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 12
  • Hoch 21
  • Mittel 26
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type dieser Eintrag
    Kritisch · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  2. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Kritisch · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  3. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Hoch · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  4. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Hoch · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  5. Froxlor's API Authentication bypasses 2FA Authentication
    Hoch · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  6. Froxlor: BIND Zone File Injection via TXT Record Content
    Hoch · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  7. Froxlor has an incomplete fix for CVE-2026-30932
    Hoch CVE-2026-41237 < 2.3.7 2.3.7
  8. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Hoch · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Hoch · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  10. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Kritisch · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  11. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Kritisch · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  12. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Hoch · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  13. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Hoch · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  14. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Hoch · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  15. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Kritisch · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  16. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Hoch · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  17. Blind XSS Leading to Froxlor Application Compromise
    Kritisch · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  18. Froxlor username/surname AND company field Bypass
    Hoch · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  19. Froxlor Improper Input Validation vulnerability
    Kritisch · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  20. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Kritisch · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  21. Froxlor vulnerable to Path Traversal
    Hoch · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
Mehr anzeigen (12) 21 von 33 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.