CVE-2026-41229: Injeção de código PHP no Froxlor pela API de servidores MySQL
Versões do Froxlor anteriores à 2.3.6 não escapam aspas simples ao gravar valores em um arquivo PHP gerado, e o parâmetro privileged_user da API de servidores MySQL é gravado sem validação de entrada. Um administrador com a permissão change_serversettings pode, assim, executar código PHP arbitrário com o usuário do servidor web. Segundo o registro, a versão 2.3.6 contém a correção.
Visão geral
O Froxlor é um software open source de administração de servidores. Segundo o aviso, versões anteriores à 2.3.6 não escapam aspas simples ao gravar valores de string em um arquivo de configuração PHP gerado. Isso permite injeção de código PHP pela API de servidores MySQL.
Impacto
- O registro descreve execução de código PHP arbitrário com o usuário do servidor web.
- Como o arquivo gerado é carregado em todas as requisições, o código injetado seria executado em cada carregamento de página posterior.
- O registro atribui pontuação CVSS de 9.1 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. O vetor exige privilégios altos e nenhuma interação do usuário.
Produtos e versões afetadas
- Produto: Froxlor Froxlor.
- Afetados: versões anteriores à 2.3.6.
- Corrigido em: 2.3.6, segundo a referência de release.
Status de exploração
O registro indica que este CVE não consta no catálogo CISA KEV. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. O campo de exploração SSVC do registro está definido como poc. A referência do GHSA é marcada como referência de exploit, mas o registro não descreve seu conteúdo.
Correção e mitigação
- Atualize o Froxlor para a versão 2.3.6 ou posterior.
- Consulte o aviso de segurança do GitHub para as orientações de mitigação do fornecedor.
- Restrinja a permissão change_serversettings a administradores de confiança e revise quem a possui.
- Revise os servidores MySQL adicionados ou alterados pela API, especialmente os valores de privileged_user.
Orientações de detecção
- Revise os logs de auditoria e as alterações recentes em servidores MySQL feitas pela API.
- Após a atualização, compare o arquivo de include de dados gerado com um estado conhecido como bom e procure conteúdo inesperado.
- Monitore os logs do servidor web e da API administrativa em busca de atividade incomum em contas de administrador.
Limitações das informações disponíveis
- O registro informa apenas o limite 'antes da 2.3.6', portanto o limite inferior do intervalo afetado é desconhecido.
- O conteúdo das orientações de mitigação do aviso GHSA não está incluído no registro.
- A data do EPSS no registro é posterior à data de publicação, por isso os valores de EPSS devem ser interpretados com cautela.
- O registro não confirma se existe código de exploit público.
Perguntas frequentes
O CVE-2026-41229 está sendo explorado ativamente?
O registro indica que ele não consta no CISA KEV, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O campo de exploração SSVC está registrado como poc.
Qual versão corrige o problema?
Segundo a referência de release, a versão 2.3.6 contém a correção, portanto a atualização para a 2.3.6 ou posterior é a ação recomendada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.