CVE-2026-41228: Froxlor: travessia de caminho no parâmetro def_language da API leva a execução remota de código
O Froxlor anterior à versão 2.3.6 não valida o parâmetro def_language nos métodos de API Customers.update e Admins.update, permitindo um valor de travessia de caminho armazenado. Segundo o aviso, isso pode levar à execução arbitrária de código PHP com o usuário do servidor web, e a correção está na versão 2.3.6. O CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O Froxlor é um software open source de administração de servidores. De acordo com o registro, os métodos de API Customers.update e Admins.update não validam o parâmetro def_language contra a lista de arquivos de idioma disponíveis. Um valor de travessia de caminho armazenado pode então ser carregado pelo carregador de idiomas. A versão 2.3.6 corrige o problema.
Impacto
- O aviso descreve execução arbitrária de código PHP com o usuário do servidor web, alcançada por meio de um valor armazenado que depois é carregado pelo carregador de idiomas.
- O registro classifica a fraqueza como CWE-98.
- O registro indica severidade crítica, com pontuação 9.9 de um provedor e 10 de outro.
Produtos e versões afetadas
- Froxlor (registrado como Froxlor Froxlor) anterior à versão 2.3.6.
- A correção está disponível na versão 2.3.6.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro, portanto a exploração ativa não é confirmada por essa fonte.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- O campo de exploração do SSVC está registrado como atividade de prova de conceito. O registro não identifica uma prova de conceito pública específica.
Correção e mitigação
- Atualize o Froxlor para a versão 2.3.6 ou posterior, conforme indicado nas referências de versão e no aviso.
- Consulte o aviso de segurança do fornecedor para orientações de mitigação.
- Até concluir a correção, limite quais contas de cliente e administrador podem usar a API, já que o aviso afirma que um cliente autenticado pode disparar o problema.
Orientações de detecção
- Revise os valores armazenados de preferência de idioma em busca de entradas que não sejam identificadores válidos, especialmente valores com separadores de diretório ou segmentos de diretório pai.
- Audite a atividade da API em requisições de atualização de objetos de clientes e administradores.
- Verifique diretórios acessíveis pela web e de clientes em busca de arquivos PHP inesperados.
Limitações das informações disponíveis
- O registro não descreve pré-requisitos de exploração além do acesso autenticado.
- O registro não confirma se todas as configurações são alcançáveis da mesma forma.
- As informações de versão disponíveis indicam apenas o limite 2.3.6, então versões intermediárias não podem ser avaliadas a partir do registro.
Perguntas frequentes
Quais versões do Froxlor são afetadas pelo CVE-2026-41228?
O registro indica as versões do Froxlor anteriores à 2.3.6 como afetadas. A correção está disponível na versão 2.3.6.
Há exploração ativa confirmada desta vulnerabilidade?
O catálogo KEV da CISA não lista este CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC de exploração está registrado como atividade de prova de conceito.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.