p PatchFirst

CVE-2026-41229

CVE-2026-41229 · Froxlor has a PHP Code Injection via Unescaped Single Quotes in userdata.inc.php Generation (MysqlServer API)

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Froxlor is open source server administration software. Prior to version 2.3.6, `PhpHelper::parseArrayToString()` writes string values into single-quoted PHP string literals without escaping single quotes. When an admin with `change_serversettings` permission adds or updates a MySQL server via the API, the `privileged_user` parameter (which has no input validation) is written unescaped into `lib/userdata.inc.php`. Since this file is `require`d on every request via `Database::getDB()`, an attacker can inject arbitrary PHP code that executes as the web server user on every subsequent page load. Version 2.3.6 contains a patch.

CVSS 9.1 · Kritisch · EPSS 0,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: php

Betroffene Produkte und Versionen

  • froxlor

    Softwareversionen
    • < 2.3.6: Betroffen

    Keine Korrektur veröffentlicht

  • froxlor/froxlor Packagist

    Softwareversionen
    • 0.10.0
    • 0.10.0-rc1
    • 0.10.0-rc2
    • 0.10.1
    • 0.10.10
    • 0.10.11
    • 0.10.12
    • 0.10.13
    • 0.10.14
    • 0.10.15
    • 0.10.16
    • 0.10.17
    • 0.10.18
    • 0.10.19
    • 0.10.2
    • 0.10.20
    • 0.10.21
    • 0.10.22
    • 0.10.23
    • 0.10.23.1
    • 0.10.24
    • 0.10.25
    • 0.10.26
    • 0.10.27
    • 0.10.28
    • 0.10.29
    • 0.10.29.1
    • 0.10.3
    • 0.10.30
    • 0.10.31
    • 0.10.32
    • 0.10.33
    • 0.10.34
    • 0.10.34.1
    • 0.10.35
    • 0.10.35.1
    • 0.10.36
    • 0.10.37
    • 0.10.38
    • 0.10.38.1
    • 0.10.38.2
    • 0.10.38.3
    • 0.10.4
    • 0.10.5
    • 0.10.6
    • 0.10.7
    • 0.10.8
    • 0.10.9
    • 2.0.0
    • 2.0.1
    • 2.0.10
    • 2.0.11
    • 2.0.12
    • 2.0.13
    • 2.0.14
    • 2.0.15
    • 2.0.16
    • 2.0.17
    • 2.0.18
    • 2.0.19
    • 2.0.2
    • 2.0.20
    • 2.0.21
    • 2.0.22
    • 2.0.23
    • 2.0.24
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.0.7
    • 2.0.8
    • 2.0.9
    • 2.1.0
    • 2.1.0-beta1
    • 2.1.0-beta2
    • 2.1.0-rc1
    • 2.1.0-rc2
    • 2.1.0-rc3
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.1.5
    • 2.1.6
    • 2.1.7
    • 2.1.8
    • 2.1.9
    • 2.2.0
    • 2.2.0-rc1
    • 2.2.0-rc2
    • 2.2.0-rc3
    • 2.2.1
    • 2.2.2
    • 2.2.3
    • 2.2.4
    • 2.2.5
    • 2.2.6
    • 2.2.7
    • 2.2.8
    • 2.3.0
    • 2.3.0-rc1
    • 2.3.1
    • 2.3.2
    • 2.3.3
    • 2.3.4
    • 2.3.5
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.3.6

    Auf 2.3.6 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →