CVE-2026-100710— Froxlor 2.3.12 前 DKIM 私钥通过 API 泄露漏洞
一分钟漏洞结论
影响对象
froxlor froxlor
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
以下是对该漏洞描述信息的中文翻译： Froxlor 2.3.10 及更早版本存在敏感字段未过滤的问题： 、 、 以及 的管理员分支会对 表执行通配符 SELECT 查询，并直接返回未修改的行数据，其中包含 字段。因此，已认证且拥有 标志权限的非超级管理员用户，可以通过 、 、 或 接口读取其他租户所属域名的 DKIM 私钥。仅需一次列表查询，即可泄露所有可见域名的私钥。攻击者利用这些泄露的私钥，可以为邮件签发 DKIM 签名，使其通过 DKIM 验证并符合受影响域名的 DMARC 对齐要求。此问题是之前不完整修复措
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-100710 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Froxlor before 2.3.12 DKIM Private Key Disclosure via API
来源: CVE Program / CVE List V5
Vulnerability Description
Froxlor through 2.3.10 does not filter sensitive columns from API responses: Domains::get(), Domains::listing(), SubDomains::get(), and the admin branch of SubDomains::listing() perform a wildcard SELECT over the panel_domains table and return the row unmodified, including the panel_domains.dkim_privkey field. An authenticated, non-superadmin admin holding the delegated customers_see_all flag can therefore read the DKIM private signing keys of domains belonging to other tenants via Domains.get, Domains.listing, SubDomains.get, or SubDomains.listing, with a single listing call disclosing the key of every visible domain. The disclosed keys allow an attacker to sign email that passes DKIM verification and DMARC alignment for the affected domains. This is a follow-on to an incomplete fix that stripped password and data_2fa but not dkim_privkey. The issue is fixed in 2.3.12.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-100710 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-100710 的情报信息
请登录查看更多情报信息。
CVE-2026-100710 厂商安全公告 (1)
-
🔗 Froxlor before 2.3.12 DKIM Private Key Disclosure via API | Advisories | VulnCheck third-party-advisory
CVE-2026-100710 其他参考 (1)
同批安全公告 · froxlor · 2026-09-26 · 共 13 条
| CVE-2026-100717 | 9.9 CRITICAL | Froxlor 2.3.12 前版本 validateUrl userinfo CRLF 注入漏洞 |
| CVE-2026-100716 | 9.9 CRITICAL | Froxlor <2.3.12 通过软链接的权限提升漏洞 |
| CVE-2026-100715 | 9.6 CRITICAL | Froxlor 2.3.12 前任意文件删除漏洞 |
| CVE-2026-100714 | 9.1 CRITICAL | Froxlor 2.3.12以下版本letsencrypt挑战路径命令注入漏洞 |
| CVE-2026-100720 | 8.7 HIGH | Froxlor <2.3.12 SSL证书签发人存储型XSS漏洞 |
| CVE-2026-100713 | 7.8 HIGH | Froxlor 2.3.12前 权限提升漏洞 |
| CVE-2026-100711 | 7.5 HIGH | Froxlor 2.3.12 前认证绕过漏洞 |
| CVE-2026-100709 | 7.5 HIGH | Froxlor 2.3.12 之前 2FA 绕过漏洞 |
| CVE-2026-100718 | 7.1 HIGH | Froxlor <2.3.12 通过 EmailSender.add 绕过身份验证漏洞 |
| CVE-2026-100708 | 7.1 HIGH | Froxlor 2.3.13 前证书 API 私钥泄露漏洞 |
| CVE-2026-100712 | 6.5 MEDIUM | Froxlor 2.3.12之前 CSRF导致双因素认证绕过漏洞 |
| CVE-2026-100719 | 6.5 MEDIUM | Froxlor 2.3.12 之前版本凭据披露漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-100710
暂无评论