CVE-2024-34070

概要

Froxlorはオープンソースのサーバー管理ソフトウェアです。2.1.9より前のバージョンでは、Froxlorアプリケーションのログイン失敗試行ログ機能に、保存型ブラインドクロスサイトスクリプティング（Stored Blind XSS）の脆弱性が確認されました。認証されていないユーザーがログイン試行時にloginnameパラメータへ悪意のあるスクリプトを注入でき、管理者がシステムログで表示すると実行されます。この脆弱性を悪用することで、攻撃者は管理者の知識や同意なしに操作を実行させるなど、さまざまな悪意のある操作を行うことができます。たとえば、攻撃者は管理者に攻撃者が管理する新しい管理者を追加させ、アプリケーションの完全な制御を獲得できます。この脆弱性は2.1.9で修正されています。

• CVE-2024-34070エクスプロイト

  Froxlorの格納型XSSであるCVE-2024-34070の概念実証エクスプロイト。脆弱なインスタンスを検出し、バージョンを抽出し、管理者アカウントを作成するペイロードを注入します。

• Exploit-CVE-2024-34070エクスプロイト

  CVE-2024-32019 を悪用するスクリプト。脆弱性の発見者である froxlor に感謝。