CVE-2026-41234
HighCVSS 7.6Summary
Froxlor to oprogramowanie do zarządzania serwerami typu open source. W wersjach przed 2.3.7, punkt końcowy API `DomainZones.add` nie oczyszczał znaków nowej linii w treści rekordów TXT, co pozwalało uwierzytelnionym użytkownikom z włączoną edycją DNS na wstrzykiwanie nowych linii do wartości rekordów TXT.
Risk Assessment
Możliwość wstrzykiwania dowolnych dyrektyw BIND oraz rekordów DNS do pliku strefy może prowadzić do poważnych problemów z bezpieczeństwem, w tym do przejęcia kontroli nad strefą DNS. To stwarza ryzyko dla integralności i dostępności usług DNS w organizacji.
Recommendation
Zaleca się aktualizację do wersji 2.3.7 lub nowszej, aby załatać tę podatność oraz przeprowadzenie przeglądu konfiguracji DNS w celu zminimalizowania ryzyka wstrzykiwania nieautoryzowanych rekordów.
Original NVD description (English source)
Froxlor is open source server administration software. Prior to version 2.3.7, the `DomainZones.add` API endpoint does not sanitize newline characters in TXT record content. An authenticated customer with DNS editing enabled can inject newlines into TXT record values, which break out of the record line in the generated BIND zone file. This enables injection of arbitrary BIND directives (`$INCLUDE`, `$GENERATE`) and arbitrary DNS records (A, MX, CNAME) into the zone file written to disk by the DNS rebuild cron. This is an incomplete fix for CVE-2026-30932 (GHSA-x6w6-2xwp-3jh6), which patched the same newline injection for LOC, RP, SSHFP, and TLSA record types but did not patch TXT records. Version 2.3.7 contains an updated patch.