Patch Ticker

Froxlor API 권한 검사 누락으로 인증서와 DB 제한 우회

웹호스팅 관리 프로그램에서 고객이 막힌 일을 몰래 할 수 있습니다.

요약

Froxlor 호스팅 관리 패널의 API에서 권한 검사가 빠져, 고객이 Let's Encrypt 인증서와 개인 키를 바꾸거나 관리자가 막은 MySQL 데이터베이스를 만들 수 있습니다. 2.3.0부터 2.3.14까지 영향을 받으며, 일부 관리자 권한에서는 다른 계정의 API 키가 보이는 문제도 있습니다.

해당 조건

  • 고객 계정에 API 접근이 켜져 있음
  • Let's Encrypt 자동 인증서가 설정된 도메인
  • 관리자가 고객에게 MySQL 기능을 숨긴 경우
  • customers_see_all 권한을 가진 관리자 계정

대처법

Froxlor 2.3.15로 업데이트하세요.

대상 제품과 운영체제

  • Froxlor

CVE 번호

원문 링크

시각

처음 게시

처음 확인