یک آسیب‌پذیری امنیتی با شدت High در نرم‌افزار مدیریت سرور Froxlor (نسخه‌های تا 2.3.10) شناسایی شده است که به کاربران احراز هویت شده اجازه می‌دهد محدودیت‌های مربوط به دامنه‌های خارجی را دور بزنند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در دستور EmailSender.add در بخش API رخ می‌دهد. در حالت عادی، مدیران سیستم می‌توانند قابلیت allowed-sender را فعال کرده و همزمان دامنه‌های خارجی را با تنظیم mail.allow_external_domains = 0 مسدود کنند تا از ثبت آدرس‌های فرستنده غیرمجاز جلوگیری شود.
با این حال، به دلیل عدم اعمال صحیح این سیاست در سطح API، یک مشتری (Customer) که دسترسی به API دارد می‌تواند با استفاده از دستور EmailSender.add، هرگونه آدرس فرستنده خارجی دلخواه را برای صندوق پستی خود ثبت کند. این مقدار علی‌رغم وجود سیاست‌های محدودکننده، در پایگاه داده ذخیره شده و منجر به ایجاد یک Bypass بین رابط کاربری (UI) و API می‌شود.
تاثیرات امنیتی
- دور زدن کنترل‌های مدیریتی: کاربر می‌تواند محدودیت‌های تعریف شده توسط مدیر سیستم را نادیده بگیرد.
- سوءاستفاده از سرویس ایمیل: امکان ثبت دامنه‌های خارجی برای ارسال ایمیل که می‌تواند منجر به سوءاستفاده در ارسال‌های غیرمجاز شود.
