یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100720 در نرم‌افزار Froxlor (نسخه‌های 2.0.0 تا 2.3.10) شناسایی شده است که منجر به اجرای کد از طریق Stored Cross-Site Scripting (XSS) می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در نحوه پردازش گواهینامه‌های SSL توسط API مربوط به گواهینامه‌ها رخ می‌دهد. زمانی که یک کاربر با کمترین سطح دسترسی (Customer)، یک گواهینامه SSL را برای دامنه‌های خود آپلود می‌کند، متدهای add() و update() مقدار سازمان صادرکننده (issuer[‘O’]) را با استفاده از تابع openssl_x509_parse() استخراج کرده و بدون هیچ‌گونه پاک‌سازی (Sanitization)، آن را به‌صورت مستقیم در پایگاه داده ذخیره می‌کنند.
مسیر حمله و تاثیر
مشکل اصلی در لایه نمایش (Rendering) رخ می‌دهد؛ جایی که موتور قالب‌ساز Twig برای نمایش جداول از فیلتر raw استفاده می‌کند. این کار باعث غیرفعال شدن قابلیت HTML auto-escaping شده و اجازه می‌دهد کدهای مخرب تزریق شده در فیلد سازمان صادرکننده، هنگام مشاهده توسط مدیر سیستم (Administrator) یا کاربرانی با دسترسی بالا، در مرورگر آن‌ها اجرا شود.
- سطح دسترسی مورد نیاز: کاربر احراز هویت شده با سطح دسترسی پایین.
- هدف حمله: مدیران سیستم و کاربران با دسترسی بالا.
- تاثیر: سرقت Session Cookies، تغییر تنظیمات پنل مدیریت و اجرای دستورات غیرمجاز در محیط مرورگر مدیر.
