Zaloguj się
Deutsch English Español Polski
Krytyczna

froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type

  • Ujawniono: 14.04.2023
  • Aktualizacja: 11.10.2026 10:22

Image files uploaded in froxlor/froxlor prior to 2.0.14 were not properly validated which could result in remote code execution via path manipulation.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer froxlor/froxlor < 2.0.14 2.0.14

Odnośniki

Ocena CVSS 9.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Słabość (CWE)
CWE-434
Platforma
Composer
Paczka
froxlor/froxlor
Ujawniono
14.04.2023
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-qwvp-g9j7-28f6 - CC BY 4.0

Historia podatności: froxlor/froxlor

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
04.2022 08.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 21
  • Średnia 26
  • Niska 1

Ujawnienia w latach

Istotność:
  1. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type ten wpis
    Krytyczna · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  2. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Krytyczna · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  3. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Wysoka · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  4. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Wysoka · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  5. Froxlor's API Authentication bypasses 2FA Authentication
    Wysoka · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  6. Froxlor: BIND Zone File Injection via TXT Record Content
    Wysoka · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  7. Froxlor has an incomplete fix for CVE-2026-30932
    Wysoka CVE-2026-41237 < 2.3.7 2.3.7
  8. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Wysoka · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Wysoka · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  10. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Krytyczna · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  11. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Krytyczna · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  12. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Wysoka · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  13. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Wysoka · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  14. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Wysoka · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  15. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Krytyczna · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  16. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Wysoka · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  17. Blind XSS Leading to Froxlor Application Compromise
    Krytyczna · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  18. Froxlor username/surname AND company field Bypass
    Wysoka · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  19. Froxlor Improper Input Validation vulnerability
    Krytyczna · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  20. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Krytyczna · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  21. Froxlor vulnerable to Path Traversal
    Wysoka · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
Pokaż więcej (12) Widać 21 z 33

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.