Um cliente autenticado pode ler os alias do remetente permitidos a outros clientes da página de confirmação do remetente- eliminando o Froxlor quando `mail.enable_allow_sender` está habilitado. `cliente_email.php` carrega `permitido_sender` por somente `senderid' de auto- incremento global, para que um cliente possa enumerar os ID de remitente estrangeiros e fazer com que o Froxlor divulgue esses valores na janela de confirmação para a caixa de correio do atacante. A leitura vulnerável vive em `cliente_email.php`. ```php $senderid = Pedido::any('senderid', 0 );... $sel_stmt = Base de dados::prepare("SELECTION `permited_sender` DESDE `". TABLE_MAIL_ SENDER_ ALIAS. "` WHERE `id` =:sid"); $sender_data = Base de dados::pexecute_first($sel_stmt, ['sid' => $senderid]); HTML::askYesNo('email_reallydelete_sender', $filename, [ 'id' => $id, 'senderid' => $senderid, 'page' => $page, 'domainid' => $email_domainid, 'action' => $action ], $idna_convert->decode($result['email_full']). ' -> '. $sender_data[''admitido_sender']); ```.
A consulta não abrange `senderid` para o cliente atual ou para a caixa de correio a ser editada. `mail_sender_aliases.id` é uma chave primária global `AUTO_INCREMENT`: ``` sql CREATE TABLE `mail_sender_aliases` ( `id` int( 11 ) NÃO UM_ incremento automático NULL, `email` varchar( 255 ) NÃO NULL, `permited_ sender` varchar( 255 ) NÃO UMULLA, PRIMARIA KEY (`id`) ) ``` Isso torna os IDs do remetente enumeráveis. Um cliente que possui qualquer caixa de correio com o gerenciamento do sender-alias habilitado pode solicitar a página de confirmação de exclusão para sua própria caixa de correio, enquanto fornece valores estranhos de `senderid`. Froxlor então torna a string estrangeira `permited_sender` na prompt de confirmação.
Verificado contra o Froxlor ` 2.3.6 ` em um novo teste de instalação com `mail.enable_allow_sender= 1 `. 1. Crie dois clientes, `vítima` e `ataque'. 2. Dê a cada cliente uma caixa de correio. 3. Adicione um alias do remetente para a caixa de correio da vítima: ```text info@victim.local -> vazou-sender@exemplo.org ```. 4. Faça login como o atacante e solicite a página de confirmação de exclusão para a caixa de correio do atacante enquanto fornece o ID do remetente da vítima:.
```text /cliente_email.php?page=senders&domainid= 4 &action=delete&id= 2 & senderid= 1 ```. Observado na instância de teste ao vivo: ```text Você realmente quer excluir o remetente permitido info@atacker.local -> vazamento-sender@example.org? ```. O identificador de caixa de correio controlado pelo atacante permaneceu `info@atacker.local`, mas o texto do alias do remetente revelado veio da linha da vítima identificada pelo `senderid= 1 `. Um cliente autenticado pode enumerar os IDs de remitente globais e ler os valores permitidos para o remetente de outros clientes. Esta é uma divulgação de informações cruzada de locatários. Ele não permite que o atacante exclua o alias estrangeiro porque a ação de exclusão revalida a propriedade.
Escolha a busca do alias do remetente para o cliente atual e caixa de correio antes de renderizar a página de confirmação. O fluxo de confirmação deve obter o alias do remetente através dos mesmos cheques de propriedade usados pelo `EmailSender::delete()`. --- *Controlado por [aisafe.io](. Registro de aconselhamento: GHSA- mr 9 h- 45 p 9 - fg 8 h. Não há nenhum identificador adicional listado. Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 02 T 19: 23: 31.000 Z e lista a sua última modificação como 2026 - 07 - 02 T 19: 23: 31.000 Z.
Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. Software afetado e informações de versão: pacote de pacotes Packagist froxlor/froxlor — ECOSYSTEM: introduzido 0, corrigido 2.3.7. Classificação e evidência: identificadores de fraqueza CWE- 200. O registro contém 2 suporte de referências nestes tipos: WEB, PACKAGE.