CVE-2026-100714
Publiée le 2026-09-26 · Dernière modification le 2026-09-26
Les installations de Froxlor antérieures à la version 2.3.12 sont affectées par une faille d'injection d'arguments dans la configuration Let's Encrypt. Un attaquant disposant de privilèges d'administrateur ou d'un accès API permettant de modifier les paramètres peut injecter des drapeaux malveillants dans la ligne de commande `acme.sh` afin d'exécuter du code arbitraire ou d'écrire des fichiers en tant qu'utilisateur root. Cette exploitation est facile à réaliser une fois que l'attaquant possède un accès de haut niveau, car elle ne nécessite aucune interaction de l'utilisateur et est déclenchée automatiquement par les tâches cron du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Froxlor before 2.3.12 does not restrict or escape the system.letsencryptchallengepath setting: unlike sibling settings hardened in GHSA-33mp, the field has no string_regexp or required_otp guard, and its value is concatenated unescaped into the acme.sh command line built in lib/Froxlor/Cron/Http/LetsEncrypt/AcmeSh.php and executed by the root cron via FileDir::safe_exec. Because safe_exec only blacklists shell metacharacters such as ; | & > < \ $ ~ ?, spaces and quotes survive and the value is word-split into additional acme.sh arguments. An administrator, or any actor able to write settings (for example through the settings-import API), can therefore inject acme.sh options such as --renew-hook, --pre-hook or --post-hook to obtain arbitrary command execution as root at the next Let's Encrypt cron run, or use --config-home/--cert-home for arbitrary file writes. Versions up to and including 2.3.10 are affected; the issue is fixed in 2.3.12.