Anmelden
Deutsch English Español Polski
Mittel

Froxlor allows Multiple Accounts to Share the Same Email Address Leading to Potential Privilege Escalation or Account Takeover

  • Veröffentlicht: 11.03.2025
  • Aktualisiert: 11.10.2026 10:22

Summary

the vulnerability is that users (such as resellers or customers) are able to create accounts with the same email address as an existing account (e.g., if the admin has admin@froxlor.com, others can also create an account using the same email). This creates potential issues with account identification and security.

Impact

Local/Authenticated: This vulnerability can be exploited by authenticated users (e.g., reseller, customer) who can create accounts with the same email address that has already been used by another account, such as the admin. Email-based: The attack vector is email-based, as the system does not prevent multiple accounts from registering the same email address, leading to possible conflicts and security issues.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket froxlor/froxlor < 2.2.6 2.2.6

Verweise

CVSS-Wert 5.8/10
CVSS-Vektor
CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N
Schwäche (CWE)
CWE-287
Plattform
Composer
Paket
froxlor/froxlor
Veröffentlicht
11.03.2025
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7j6w-p859-464f - CC BY 4.0

Schwachstellenhistorie: froxlor/froxlor

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (60) im Archiv
Einträge insgesamt
60
Erste → letzte
04.2022 08.2026
Ohne Fix
3
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 12
  • Hoch 21
  • Mittel 26
  • Niedrig 1

Veröffentlichungen pro Jahr

Schweregrad:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Kritisch · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Hoch · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Hoch · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Hoch · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Hoch · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Hoch CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Hoch · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Hoch · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Kritisch · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Kritisch · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Hoch · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Hoch · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Hoch · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Kritisch · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor allows Multiple Accounts to Share the Same Email Address Leading to Potential Privilege Escalation or Account Takeover dieser Eintrag
    Mittel · 5.8 CVE-2025-29773 < 2.2.6 2.2.6
  16. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Hoch · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  17. Blind XSS Leading to Froxlor Application Compromise
    Kritisch · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  18. Froxlor username/surname AND company field Bypass
    Hoch · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  19. Froxlor Improper Input Validation vulnerability
    Kritisch · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  20. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Kritisch · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
Mehr anzeigen (14) 20 von 34 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.