CVE-2026-100717 · CVSS 9.9 · froxlor is a server administration panel. In versions 2.3.10 and earlier, Validate::validateUrl rejects carriage return and line feed …

NVD (CVSS crítico) · 26 sept, 16:16

CVE-2026-100717 afecta a froxlor 2.3.10 y anteriores: una validación incompleta en Validate::validateUrl permite que clientes de bajo privilegio con derechos de creación de subdominios inyecten caracteres CR/LF en el componente userinfo de URLs de redirección, sobrescribiendo la validación. La carga útil se escribe directamente en la configuración de nginx o Apache, permitiendo inyección de directivas arbitrarias del servidor web que se ejecutan como root. La vulnerabilidad se corrige en versión 2.3.12.