תיאור (מקור, אנגלית)
Froxlor from 0.10.0 before 2.3.15 contains an authorization bypass vulnerability in the Admins.get API command that allows resellers to read any admin record via identifier confusion. Attackers can send their own loginname with another admin's numeric id to retrieve contact email, IP allow-lists, resource limits, notes, and login history.
קישורים6
- github.com/froxlor/froxlor/blob/2.3.14/lib/Froxlor/Api/Command…
- github.com/froxlor/froxlor/commit/981400f36a0c3b5a7012e15a17df…
- github.com/froxlor/froxlor/releases/tag/2.3.15
- github.com/froxlor/froxlor/security/advisories/GHSA-m7gc-8c8g-…
- www.vulncheck.com/advisories/froxlor-0.10.0-before-2.3.15-auth…
- github.com/froxlor/froxlor/security/advisories/GHSA-m7gc-8c8g-…
מדדים
- CVSS 3.1
-
4.3
MEDIUM
מקור הציון: CNA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N - CVSS 4.0
-
5.3
MEDIUM
מקור הציון: CNA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X - EPSS — סבירות ניצול
- 0% אחוזון 33 · נכון ל-9 בנובמבר 2026
- CWE
- CWE-863
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.