Критическая уязвимость CVE-2026-90937 в froxlor: инъекция конфигурации nginx/Apache через URL редиректа поддомена
В панели управления хостингом froxlor до версии 2.2.5 обнаружена критическая уязвимость CVE-2026-90937 с оценкой CVSS 9.4. Аутентифицированный клиент может внедрить произвольные директивы в конфигурации nginx или Apache через URL редиректа поддомена, что ведёт к порче конфигурации, отказу в обслуживании или перехвату HTTP-ответов на всех размещённых доменах.
Подробности
Уязвимость присутствует в версиях froxlor до 2.2.5 включительно. Причина — отсутствие валидации символов перевода строки (newline) в URL редиректа поддомена. Пользователь может передать URL, содержащий литеральные символы новой строки, которые затем дословно записываются в конфигурационные файлы vhost во время пересборки конфигурации по расписанию (cron rebuild). Поскольку внедрённые данные попадают напрямую в конфигурацию веб-сервера, злоумышленник способен: - нарушить целостность конфигурации nginx или Apache; - вызвать отказ в обслуживании (DoS) для размещённых сайтов; - перехватывать или подменять HTTP-ответы на всех доменах, обслуживаемых сервером, включая домены других клиентов. Уязвимости присвоена оценка CVSS 9.4 (CRITICAL). Для эксплуатации требуется аутентификация в панели froxlor, однако низкая сложность атаки и широкий радиус поражения (все размещённые домены на узле) делают угрозу особенно опасной в сценариях shared-хостинга.Что делать
Основная рекомендация — как можно скорее обновить froxlor до версии 2.2.5 или более поздней, в которой устранена валидация символов перевода строки. Обновление следует провести на всех серверах, где развёрнута панель. Если немедленное обновление невозможно, рекомендуется применить временные меры: - ограничить возможность создания и редактирования редиректов поддоменов для недоверенных клиентов; - проверять содержимое конфигурационных файлов vhost на наличие посторонних директив после каждой пересборки; - контролировать журналы froxlor и веб-сервера на предмет подозрительной активности, связанной с изменением редиректов; - по возможности изолировать клиентские домены, чтобы компрометация конфигурации одного узла не затрагивала остальные. После обновления следует пересобрать конфигурации и убедиться, что в файлах vhost отсутствуют несанкционированные директивы. Итог: CVE-2026-90937 — серьёзная уязвимость уровня CRITICAL, позволяющая аутентифицированному клиенту froxlor внедрять произвольные директивы в конфигурацию nginx/Apache и влиять на все обслуживаемые домены. Единственная надёжная мера защиты — обновление до версии 2.2.5 или новее; до его установки стоит применять ограничительные митигации и усиленный мониторинг.Источник: CVE Project (cvelistV5)