Froxlor: Gespeichertes Cross-Site Scripting über den Theme-Wert von Kunden

Zusammenfassung

Froxlor 2.0.0 vor 2.3.14 validiert den Theme-Wert nicht korrekt, den authentifizierte Kunden im Panel setzen können. Der gespeicherte Wert wird in der Kundenübersicht des Administrators ohne Escaping ausgegeben, sodass Skripte im Browser eines Administrators ausgeführt werden, der die Spalte Theme aktiviert hat. Ein Angreifer könnte dies nutzen, um mit den Rechten des Administrators zu handeln, etwa um Administratorkonten zu erstellen oder Servereinstellungen zu ändern, indem er den CSRF-Token des Administrators verwendet.

Betroffen

• Froxlor 2.0.0 bis vor 2.3.14 (2.0.0 bis 2.3.13)

Behoben in

• Froxlor 2.3.14 (das Advisory des Herstellers nennt 2.3.14 als gepatchte Version)

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert, da eine korrigierte Version verfügbar ist. Bis das Update eingespielt ist:

• Nicht benötigte Kundenkonten entfernen oder einschränken.
• Die Spalte Theme in der Kundenübersicht nicht aktivieren.
• Gespeicherte Theme-Werte von Kunden in der Datenbank auf HTML- oder Skriptinhalte prüfen.

Ausnutzung

• CISA SSVC bewertet die Ausnutzung als "poc" (Proof of Concept vorhanden) und die Automatisierbarkeit als "no".
• Nicht als bekanntermassen ausgenutzt markiert.
• EPSS-Wert 0.00292 (niedrig).

Unsere Empfehlung

• Froxlor auf allen Instanzen mit Kundenkonten auf 2.3.14 oder neuer aktualisieren, zuerst auf Systemen mit Internetzugang und mehreren Kunden.
• Bis zum Update die Spalte Theme für alle Administratoren deaktivieren.
• Theme-Werte von Kunden auf Skriptinhalte prüfen.
• Die Recherchenotizen verweisen auf eine separate Froxlor-Schwachstelle (CVE-2026-113678), die in 2.3.15 behoben ist. Dies ist nicht verifiziert; das Advisory des Herstellers prüfen und 2.3.15 in Betracht ziehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-3jpp-mhvh-rv66 github.com
• VulnCheck advisory: Froxlor stored XSS via customer theme value www.vulncheck.com
• OSV: CVE-2026-109960 osv.dev
• Froxlor 2.3.14 release github.com
• VulDB entry 417668 vuldb.com
• Vulners VulnCheck record for CVE-2026-109960 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 04:31.