CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 2CVE-2021-42325 – Froxlor 0.10.29.1 - SQL Injection (Authenticated)
https://notcve.org/view.php?id=CVE-2021-42325
Froxlor through 0.10.29.1 allows SQL injection in Database/Manager/DbManagerMySQL.php via a custom DB name. Froxlor versiones hasta 0.10.29.1, permite una inyección SQL en el archivo Database/Manager/DbManagerMySQL.php por medio de un nombre de base de datos personalizado Froxlor version 0.10.2l9.1 suffers from a remote SQL injection vulnerability that can enable an attacker to achieve remote code execution. • https://www.exploit-db.com/exploits/50502 https://github.com/AK-blank/CVE-2021-42325- http://packetstormsecurity.com/files/164800/Froxlor-0.10.29.1-SQL-Injection.html https://github.com/Froxlor/Froxlor/commit/eb592340b022298f62a0a3e8450dbfbe29585782 • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 8.8EPSS: 0%CPEs: 1EXPL: 1CVE-2020-10235
https://notcve.org/view.php?id=CVE-2020-10235
An issue was discovered in Froxlor before 0.10.14. Remote attackers with access to the installation routine could have executed arbitrary code via the database configuration options that were passed unescaped to exec, because of _backupExistingDatabase in install/lib/class.FroxlorInstall.php. Se detectó un problema en Froxlor versiones anteriores a 0.10.14. Los atacantes remotos con acceso a la rutina de instalación podrían haber ejecutado código arbitrario por medio de las opciones de configuración de la base de datos que fueron pasadas sin escape a exec, debido a la función _backupExistingDatabase en la biblioteca install/lib/class.FroxlorInstall.php. • https://bugzilla.suse.com/show_bug.cgi?id=1165721 https://github.com/Froxlor/Froxlor/commit/62ce21c9ec393f9962515c88f0c489ace42bf656 https://github.com/Froxlor/Froxlor/commit/7e361274c5bf687b6a42dd1871f6d75506c5d207 https://github.com/Froxlor/Froxlor/compare/0.10.13...0.10.14 • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') CWE-116: Improper Encoding or Escaping of Output •
CVSS: 5.5EPSS: 0%CPEs: 1EXPL: 0CVE-2020-10237
https://notcve.org/view.php?id=CVE-2020-10237
An issue was discovered in Froxlor through 0.10.15. The installer wrote configuration parameters including passwords into files in /tmp, setting proper permissions only after writing the sensitive data. A local attacker could have disclosed the information if he read the file at the right time, because of _createUserdataConf in install/lib/class.FroxlorInstall.php. Se detectó un problema en Froxlor versiones hasta 0.10.15. El instalador escribió los parámetros de configuración, incluyendo las contraseñas en los archivos en /tmp, estableciendo los permisos apropiados solo después de escribir los datos confidenciales. • https://bugzilla.suse.com/show_bug.cgi?id=1165719 • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 0CVE-2020-10236
https://notcve.org/view.php?id=CVE-2020-10236
An issue was discovered in Froxlor before 0.10.14. It created files with static names in /tmp during installation if the installation directory was not writable. This allowed local attackers to cause DoS or disclose information out of the config files, because of _createUserdataConf in install/lib/class.FroxlorInstall.php. Se detectó un problema en Froxlor versiones anteriores a 0.10.14. Creó archivos con nombres estáticos en /tmp durante la instalación si el directorio de instalación no era escribible. • https://bugzilla.suse.com/show_bug.cgi?id=1165718 https://github.com/Froxlor/Froxlor/commit/6b09720ef8a1cc008751dd0ca0140a0597fedce5 https://github.com/Froxlor/Froxlor/compare/0.10.13...0.10.14 • CWE-20: Improper Input Validation •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 0CVE-2018-1000527
https://notcve.org/view.php?id=CVE-2018-1000527
Froxlor version <= 0.9.39.5 contains a PHP Object Injection vulnerability in Domain name form that can result in Possible information disclosure and remote code execution. This attack appear to be exploitable via Passing malicious PHP objection in $_POST['ssl_ipandport']. This vulnerability appears to have been fixed in after commit c1e62e6. Froxlor en versiones iguales o anteriores a la 0.9.39.5 contiene una vulnerabilidad de inyección de objetos PHP en el nombre del dominio que puede resultar en una divulgación de información y en la ejecución remota de código. El ataque parece ser explotable pasando objetos PHP maliciosos en $_POST['ssl_ipandport']. • https://0dd.zone/2018/05/31/Froxlor-Object-Injection https://github.com/Froxlor/Froxlor/issues/555 • CWE-502: Deserialization of Untrusted Data •