Zaloguj się
Deutsch English Español Polski
Średnia

Froxlor allows Multiple Accounts to Share the Same Email Address Leading to Potential Privilege Escalation or Account Takeover

  • Ujawniono: 11.03.2025
  • Aktualizacja: 11.10.2026 10:22

Summary

the vulnerability is that users (such as resellers or customers) are able to create accounts with the same email address as an existing account (e.g., if the admin has admin@froxlor.com, others can also create an account using the same email). This creates potential issues with account identification and security.

Impact

Local/Authenticated: This vulnerability can be exploited by authenticated users (e.g., reseller, customer) who can create accounts with the same email address that has already been used by another account, such as the admin. Email-based: The attack vector is email-based, as the system does not prevent multiple accounts from registering the same email address, leading to possible conflicts and security issues.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer froxlor/froxlor < 2.2.6 2.2.6

Odnośniki

Ocena CVSS 5.8/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-287
Platforma
Composer
Paczka
froxlor/froxlor
Ujawniono
11.03.2025
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-7j6w-p859-464f - CC BY 4.0

Historia podatności: froxlor/froxlor

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (60) w archiwum
Wszystkich wpisów
60
Pierwsza → ostatnia
04.2022 08.2026
Bez poprawki
3
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 12
  • Wysoka 21
  • Średnia 26
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Froxlor: Credential and 2FA secret disclosure via Froxlor API endpoints
    Krytyczna · 9.0 CVE-2026-62988 < 2.3.8 2.3.8
  2. Froxlor: Second-Order SQL Injection via `Admins.add` `ipaddress` Parameter Allows Full Database Exfiltration
    Wysoka · 7.2 CVE-2026-54348 < 2.3.8 2.3.8
  3. Froxlor: Stored XSS in DNS TXT Record Content Allows Customer-to-Admin Account Takeover
    Wysoka · 8.7 CVE-2026-54347 < 2.3.8 2.3.8
  4. Froxlor's API Authentication bypasses 2FA Authentication
    Wysoka · 8.1 CVE-2026-52793 < 2.3.7 2.3.7
  5. Froxlor: BIND Zone File Injection via TXT Record Content
    Wysoka · 7.6 CVE-2026-41234 < 2.3.7 2.3.7
  6. Froxlor has an incomplete fix for CVE-2026-30932
    Wysoka CVE-2026-41237 < 2.3.7 2.3.7
  7. Froxlor has privilege escalation in SSH key synchronization via symlinked `authorized_keys` path
    Wysoka · 8.8 CVE-2026-41236 >= 2.3.6, < 2.3.7 2.3.7
  8. Froxlor has an authorization bypass in FTP shell assignment via missing server-side `available_shells` enforcement
    Wysoka · 8.8 CVE-2026-41235 >= 2.3.6, < 2.3.7 2.3.7
  9. Froxlor has Local File Inclusion via path traversal in API `def_language` parameter leads to Remote Code Execution
    Krytyczna · 9.9 CVE-2026-41228 < 2.3.6 2.3.6
  10. Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)
    Krytyczna · 9.1 CVE-2026-41229 < 2.3.6 2.3.6
  11. Froxlor has a BIND Zone File Injection via Unsanitized DNS Record Content in DomainZones::add()
    Wysoka · 8.5 CVE-2026-41230 < 2.3.6 2.3.6
  12. Froxlor has Incomplete Symlink Validation in DataDump.add() Allows Arbitrary Directory Ownership Takeover via Cron
    Wysoka · 7.5 CVE-2026-41231 < 2.3.6 2.3.6
  13. Froxlor is vulnerable to BIND zone file injection via unsanitized DNS record content in DomainZones API
    Wysoka · 8.8 CVE-2026-30932 < 2.3.5 2.3.5
  14. Froxlor has Admin-to-Root Privilege Escalation via Input Validation Bypass + OS Command Injection
    Krytyczna · 9.1 CVE-2026-26279 < 2.3.4 2.3.4
  15. Froxlor allows Multiple Accounts to Share the Same Email Address Leading to Potential Privilege Escalation or Account Takeover ten wpis
    Średnia · 5.8 CVE-2025-29773 < 2.2.6 2.2.6
  16. Froxlor: /etc/pure-ftpd/db/mysql.conf is chmod 644 but contains <SQL_UNPRIVILEGED_PASSWORD>
    Wysoka · 7.3 CVE-2024-58383 < 2.2.0 2.2.0
  17. Blind XSS Leading to Froxlor Application Compromise
    Krytyczna · 9.6 CVE-2024-34070 < 2.1.9 2.1.9
  18. Froxlor username/surname AND company field Bypass
    Wysoka · 7.5 CVE-2023-50256 < 2.1.2 2.1.2
  19. Froxlor Improper Input Validation vulnerability
    Krytyczna · 9.9 CVE-2023-6069 < 2.1.0-beta1 2.1.0-beta1
  20. Froxlor vulnerable to Improper Encoding or Escaping of Output
    Krytyczna · 9.1 CVE-2023-3668 < 2.0.21 2.0.21
  21. Froxlor vulnerable to Path Traversal
    Wysoka · 7.2 CVE-2023-3172 < 2.0.20 2.0.20
  22. Froxlor vulnerable to Improper Restriction of Excessive Authentication Attempts
    Krytyczna · 9.8 CVE-2023-3173 < 2.0.20 2.0.20
  23. froxlor/froxlor vulnerable to unrestricted upload of file with dangerous type
    Krytyczna · 9.1 CVE-2023-2034 < 2.0.14 2.0.14
  24. Froxlor is vulnerable to authentication bypass
    Krytyczna · 9.8 CVE-2023-1307 < 2.0.13 2.0.13
  25. Froxlor Cross-Site Request Forgery vulnerability
    Wysoka · 8.8 CVE-2023-1033 < 2.0.11 2.0.11
  26. Code Injection in froxlor/froxlor
    Wysoka · 8.8 CVE-2023-0877 < 2.0.11 2.0.11
  27. froxlor is vulnerable to privilege escalation from customer to root via directory-options
    Wysoka · 8.8 CVE-2023-0671 < 2.0.10 2.0.10
  28. Froxlor contains Weak Password Requirements
    Wysoka · 7.5 CVE-2023-0564 < 2.0.10 2.0.10
  29. Froxlor vulnerable to Command Injection
    Wysoka · 8.8 CVE-2023-0315 < 2.0.8 2.0.8
  30. Froxlor SQL injection vulnerability
    Krytyczna · 9.8 CVE-2021-42325 < 0.10.30 0.10.30
  31. Froxlor arbitrary code execution via the database configuration options
    Wysoka · 8.8 CVE-2020-10235 < 0.10.14 0.10.14
  32. Froxlor guessable password reset token
    Krytyczna · 9.8 CVE-2016-5100 < 0.9.35 0.9.35
  33. Froxlor Incorrect Access Control
    Wysoka · 7.5 CVE-2018-12642 < 0.9.40 0.9.40
  34. Froxlor PHP Object Injection vulnerability
    Wysoka · 7.2 CVE-2018-1000527 < 0.9.40 0.9.40

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.