CVE-2026-90937: Kritisk fejl i Froxlor hostingpanel

CVE-2026-90937 er en sårbarhed i Froxlor, et open source-kontrolpanel til webhosting, som administratorer bruger til at oprette og styre kunders domæner, underdomæner og serverkonfiguration. Fejlen findes i CWE-93, kaldet CRLF-indsprøjtning, hvor programmet ikke fjerner linjeskift-tegn i tekstfelter. Når en kunde opretter en omdirigering for et underdomæne, kan vedkommende skrive en adresse, der indeholder skjulte linjeskift. Froxlor skriver adressen direkte ind i konfigurationsfilerne til nginx eller Apache, når systemet genopbygger dem via en planlagt opgave. De ekstra linjeskift gør, at kundens tekst bliver læst som nye konfigurationslinjer i webserverens opsætning, ikke som almindelig tekst.

Sårbarheden rammer alle, der driver Froxlor i version før 2.2.5, typisk hostingudbydere, webbureauer og it-afdelinger, der administrerer flere kunders domæner på delte servere. Det gælder både virksomheder, der selv hoster kundesites, og virksomheder, der har outsourcet drift til en udbyder, som bruger Froxlor som styringsværktøj. Da angrebet kræver et almindeligt kundelogin, ikke administratorrettigheder, er alle miljøer med selvbetjening for kunder i risiko.

En kunde med almindelig adgang kan lægge skadelig tekst i et felt til underdomæne-omdirigering. Ved næste genopbygning af serverkonfigurationen bliver teksten en del af opsætningen for nginx eller Apache, og fejlen kan sprede sig til alle domæner på serveren, ikke kun kundens eget. I praksis kan det lukke webserveren helt ned, omdirigere besøgende til falske sider eller lade angriberen læse svar, der var tiltænkt andre kunders domæner.

CVSS-scoren er 9,9 af 10, kritisk. Angrebet kræver kun et lavt privilegeret, autentificeret kundelogin, ingen handling fra andre brugere, og kan udføres over netværket uden lokal adgang. Fordi konsekvensen rækker ud over den sårbare komponent selv, kan en enkelt kompromitteret kundekonto påvirke fortrolighed og integritet for alle domæner på serveren i høj grad, mens driftspåvirkningen er begrænset. Der er ved offentliggørelsen ikke rapporteret om aktiv udnyttelse, men fejlen er enkel at forstå og udnytte, når man har et kundelogin.

Sådan lukker I hullet og begrænser skaden, hvis I allerede er ramt:

1. Opdatér Froxlor til version 2.2.5 eller nyere, hvor validering af linjeskift i omdirigerings-URL’er er rettet.
2. Gennemgå eksisterende underdomæne-omdirigeringer for uventede linjeskift eller mistænkelig tekst, før I opdaterer.
3. Tjek jeres nginx- og Apache-konfigurationsfiler for linjer, I ikke selv har tilføjet, og gendan fra sikker backup, hvis I finder uregelmæssigheder.
4. Begræns, hvem der har kundeadgang til Froxlor, og gennemgå logninger for oprettelse af nye underdomæner op til offentliggørelsen.
5. Sæt automatisk genopbygning af vhost-filer på pause, indtil opdateringen er installeret, hvis det er muligt.
6. Kontakt en sikkerhedsrådgiver, hvis I finder tegn på, at konfigurationsfiler allerede er ændret, eller hvis I ikke selv kan verificere opdateringen.