Iniciar sesión
Deutsch English Español Polski
Alta

Froxlor username/surname AND company field Bypass

  • Publicada: 04.01.2024
  • Actualizado: 11.10.2026 10:22

Dear Sirs and Madams,

I would like to report a business logic error vulnerability that I discovered during my recent penetration test on Froxlor.

Specifically, I identified an issue where it was possible to submit the registration form with the essential fields, such as the username and password, left intentionally blank. This inadvertent omission allowed for a bypass of the mandatory field requirements established by the system.

The surname, family name AND company name all of them can be left blank.

I believe addressing this vulnerability is crucial to ensure the security and integrity of the Froxlor platform.

Thank you for your attention to this matter.

This action served as a means to bypass the mandatory field requirements.

Lets see (please have a look at the Video -> attachment).

as you can see i was able to let the username and second name blank.

https://user-images.githubusercontent.com/80028768/289675319-81ae8ebe-1308-4ee3-bedb-43cdc40da474.mp4

Lets see again.

Only the company name is set.

Thank you for your time

Froxlor 2 Froxlor 1

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer froxlor/froxlor < 2.1.2 2.1.2

Referencias

Puntuación CVSS 7.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Debilidad (CWE)
CWE-20
Plataforma
Composer
Paquete
froxlor/froxlor
Publicada
04.01.2024
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-625g-fm5w-w7w4 - CC BY 4.0

Historial de vulnerabilidades: froxlor/froxlor

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (60) en el archivo
Entradas en total
60
Primera → última
04.2022 08.2026
Sin corrección
3
Explotada en ataques
0

Distribución por gravedad

  • Crítica 12
  • Alta 21
  • Media 26
  • Baja 1

Divulgaciones por año

Gravedad:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Crítica · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Alta · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Alta · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Alta · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Alta · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Alta CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Alta · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Alta · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Crítica · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Crítica · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Alta · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Alta · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Alta · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Crítica · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Alta · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  16. Blind XSS Leading to Froxlor Application Compromise
    Crítica · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  17. Froxlor username/surname AND company field Bypass esta entrada
    Alta · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  18. Froxlor Improper Input Validation vulnerability
    Crítica · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  19. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Crítica · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  20. Froxlor vulnerable to Path Traversal
    Alta · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
Mostrar más (13) Mostrando 20 de 33

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.