Zaloguj się
Deutsch English Español Polski
Średnia

HTML Injection in Froxlor

  • Ujawniono: 14.04.2022
  • Aktualizacja: 11.10.2026 10:22

Froxlor through 0.10.22 does not perform validation on user input passed in the customermail GET parameter. The value of this parameter is reflected in the login webpage, allowing the injection of arbitrary HTML tags.

Note: Froxlor version 0.10.22 introduces AntiXSS cross-site scripting protection, but AntiXSS only provides partial protection for this particular issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer froxlor/froxlor <= 0.10.22 brak poprawki

Odnośniki

Ocena CVSS 6.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
Composer
Paczka
froxlor/froxlor
Ujawniono
14.04.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-j739-gw6q-f4c7 - CC BY 4.0

Historia podatności: froxlor/froxlor

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
04.2022 08.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 21
  • Średnia 26
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Krytyczna · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Wysoka · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Wysoka · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Wysoka · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Wysoka · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Wysoka CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Wysoka · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Wysoka · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Krytyczna · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Krytyczna · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Wysoka · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Wysoka · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Wysoka · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Krytyczna · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Wysoka · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  16. Blind XSS Leading to Froxlor Application Compromise
    Krytyczna · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  17. Froxlor username/surname AND company field Bypass
    Wysoka · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  18. Froxlor Improper Input Validation vulnerability
    Krytyczna · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  19. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Krytyczna · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  20. Froxlor vulnerable to Path Traversal
    Wysoka · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
  21. Froxlor vulnerable to Improper Restriction of Excessive Authentication Attempts
    Krytyczna · 9.8 CVE-2023-3173 < 2.0.20 2.0.20
  22. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type
    Krytyczna · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  23. Froxlor is vulnerable to authentication bypass
    Krytyczna · 9.8 CVE-2023-1307 < 2.0.13 2.0.13
  24. Froxlor Cross-Site Request Forgery vulnerability
    Wysoka · 8.8 CVE-2023-1033 < 2.0.11 2.0.11
  25. Code Injection in froxlor/froxlor
    Wysoka · 8.8 CVE-2023-0877 < 2.0.11 2.0.11
  26. froxlor is vulnerable to privilege escalation from customer to root via directory-options
    Wysoka · 8.8 CVE-2023-0671 < 2.0.10 2.0.10
  27. Froxlor contains Weak Password Requirements
    Wysoka · 7.5 CVE-2023-0564 < 2.0.10 2.0.10
  28. Froxlor vulnerable to Command Injection
    Wysoka · 8.8 CVE-2023-0315 < 2.0.8 2.0.8
  29. Froxlor SQL injection vulnerability
    Krytyczna · 9.8 CVE-2021-42325 < 0.10.30 0.10.30
  30. Froxlor arbitrary code execution via the database configuration options
    Wysoka · 8.8 CVE-2020-10235 < 0.10.14 0.10.14
  31. Froxlor guessable password reset token
    Krytyczna · 9.8 CVE-2016-5100 < 0.9.35 0.9.35
  32. Froxlor Incorrect Access Control
    Wysoka · 7.5 CVE-2018-12642 < 0.9.40 0.9.40
  33. Froxlor PHP Object Injection vulnerability
    Wysoka · 7.2 CVE-2018-1000527 < 0.9.40 0.9.40
  34. HTML Injection in Froxlor ten wpis
    Średnia · 6.1 CVE-2020-29653 <= 0.10.22 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.