CVE-2026-100714 · CVSS 9.1 · Froxlor before 2.3.12 does not restrict or escape the system.letsencryptchallengepath setting: unlike sibling settings hardened in …

NVD (CVSS crítico) · 26 sept, 16:16

Froxlor anterior a 2.3.12 no valida correctamente el parámetro system.letsencryptchallengepath, permitiendo a administradores o actores con acceso de escritura a la configuración inyectar opciones de acme.sh y ejecutar comandos arbitrarios como root. La vulnerabilidad (CVSS 9.1) afecta a versiones hasta 2.3.10 y se corrige en 2.3.12.