Alerta crítica: Froxlor anterior a la versión 2.3.15 contiene una vulnerabilidad de tipo symlink following en Statistics::makeChownWithNewStats que permite a clientes autenticados escalar privilegios hasta obtener control total del servidor. Un atacante puede abusar del cron de tráfico ejecutado como root para tomar posesión de directorios arbitrarios del host, lo que deriva en una escalada a root. La vulnerabilidad tiene una puntuación CVSS de 9,4 y se recomienda aplicar la actualización inmediatamente.
Resumen ejecutivo
La vulnerabilidad CVE-2026-113678 afecta a Froxlor, el panel de administración de hosting de código abierto, en todas las versiones anteriores a la 2.3.15. Se trata de un fallo de tipo symlink following en la función Statistics::makeChownWithNewStats que, combinado con el cron de tráfico ejecutado como root, permite a un usuario autenticado con una cuenta de cliente tomar posesión de directorios del sistema que pertenecen a root, logrando finalmente una escalada completa de privilegios.
| CVE | CVE-2026-113678 |
|---|---|
| Fabricante | froxlor |
| Producto | froxlor |
| Publicación | 2026-10-20T14:17:12.6130000Z |
| Severidad | CRITICAL |
| CVSS | 9,4 (CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X) |
| Prioridad | 185 (según RyzerBot) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad reside en la función Statistics::makeChownWithNewStats de Froxlor, responsable de gestionar los permisos de los directorios de estadísticas de tráfico de cada cliente. El fallo es un problema de resolución de enlaces antes de acceso a archivo (CWE-59), más conocido como symlink following.
Froxlor ejecuta un cron de tráfico como usuario root que procesa los informes de goaccess para cada cliente alojado. Durante este proceso, la función vulnerable realiza una operación chown -R sobre el directorio de estadísticas del cliente. El problema surge porque la aplicación no valida adecuadamente si el directorio es un enlace simbólico real o un punto de montaje.
Un atacante con una cuenta de cliente autenticado puede reemplazar el directorio de estadísticas de goaccess dentro de su document root por un enlace simbólico que apunte a cualquier directorio del sistema, como por ejemplo /etc o /root. Cuando el cron de tráfico se ejecuta como root, la operación chown -R sigue el enlace simbólico y cambia la propiedad de todo el árbol de directorios objetivo, entregándolo efectivamente al atacante. Esto permite al cliente tomar posesión de directorios críticos del host y, posteriormente, escalar a privilegios de root.
El commit correctivo en el repositorio oficial de Froxlor aborda esta vulnerabilidad, y la versión 2.3.15 incluye la corrección. El aviso de seguridad GHSA-vwjv-x8ff-4cvv del fabricante confirma el fallo y proporciona detalles adicionales sobre el impacto.
Productos y versiones vulnerables
Según la información publicada por CVE.org (fuente CNA) y confirmada por NVD, la vulnerabilidad afecta al producto froxlor del fabricante froxlor.
La condición de afectación se define por un rango de versiones, que se detalla a continuación:
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| froxlor | froxlor | Todas las versiones anteriores a 2.3.15 | 2.3.15 |
El proveedor ha publicado la versión 2.3.15 como corrección. No se han publicado otras ramas o versiones afectadas en las fuentes consultadas. Se recomienda revisar el aviso oficial del fabricante para confirmar el estado del despliegue en su entorno.
Impacto y riesgo
La vulnerabilidad CVE-2026-113678 ha sido clasificada con una severidad CRITICAL y una puntuación CVSS v4.0 de 9.4 (vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X).
La causa raíz radica en una vulnerabilidad de tipo enlace simbólico (symlink following) identificada como CWE-59, presente en el método Statistics::makeChownWithNewStats. Esta función es invocada por un cron que se ejecuta con privilegios de root para generar estadísticas de tráfico web mediante GoAccess.
Un atacante autenticado, con capacidad de alta en el panel de control, podría reemplazar el directorio de estadísticas de GoAccess en su raíz de documentos (document root) por un enlace simbólico. Al ejecutarse el cron, el comando chown -R cambiará la propiedad del directorio objetivo del enlace, entregando al atacante el control de directorios propiedad de root en el sistema anfitrión. El impacto potencial es la escalada de privilegios a nivel de sistema, comprometiendo la confidencialidad, integridad y disponibilidad del servidor, así como de otros inquilinos del mismo host.
La métrica CVSS refuerza este análisis al indicar un alto impacto sobre la confidencialidad, integridad y disponibilidad, tanto a nivel del sistema (VC, VI, VA: Alto) como en el ámbito de seguridad (SC, SI, SA: Alto). La complejidad de ataque es baja (AC:L), no requiere interacción del usuario (UI:N) y solo necesita privilegios bajos iniciales (PR:L), lo que facilita la explotación a cualquier cliente autenticado del servicio.
Estado de explotación conocida
Según los datos proporcionados por NVD y CVE.org, las fuentes consultadas no confirman explícitamente la existencia de exploits públicos o ataques activos explotando esta vulnerabilidad. La identificación de la vulnerabilidad está publicada desde el 20 de octubre de 2026 y se han documentado los detalles técnicos y el parche, pero no se dispone de evidencia de explotación en entornos reales en las referencias evaluadas.
Sin embargo, dado que la vulnerabilidad es de criticidad alta y que la técnica (symlink following) es bien conocida, se recomienda encarecidamente aplicar la actualización a la versión 2.3.15 o implementar las mitigaciones indicadas por el fabricante con la mayor brevedad posible, sin esperar a que se confirme su explotación activa.
Indicadores de compromiso (IOC)
Las fuentes consultadas (NVD y CVE.org) no publican indicadores de compromiso (IOC) estructurados para esta vulnerabilidad. El campo correspondiente del enriquecimiento se encuentra vacío, por lo que no se dispone de direcciones IP, dominios, hashes de archivos u otros artefactos específicos que puedan asociarse a una explotación de CVE-2026-113678.
No deben asumirse ni buscarse IOC genéricos no publicados oficialmente. En su lugar, se recomienda monitorizar la actividad inusual en los directorios de estadísticas (goaccess) y cambios de propiedad (chown) anómalos en el sistema, además de revisar los registros del cron de tráfico, como medida de higiene proactiva.
Cómo comprobar si estás afectado
La vulnerabilidad CVE-2026-113678 afecta a todas las versiones de froxlor anteriores a la 2.3.15. Si tu instalación no ha sido actualizada a dicha versión o a una posterior, debes asumir que eres vulnerable y actuar en consecuencia.
Para determinar si tu sistema está expuesto, sigue estos pasos:
- Verifica la versión instalada: Accede al panel de administración de froxlor y consulta la sección de información del sistema o la página de inicio. La versión actual debe aparecer indicada. También puedes revisar el archivo de versión en el directorio de instalación.
- Compara con la versión corregida: Si la versión instalada es inferior a
2.3.15, estás dentro del rango afectado según la información publicada por CVE.org y NVD. - Revisa los directorios de estadísticas: Comprueba si en las raíces de documentos de tus clientes existen directorios de estadísticas de goaccess que puedan haber sido reemplazados por enlaces simbólicos. La presencia de symlinks inesperados en
goaccesso directorios de estadísticas es un indicador de posible explotación. - Audita los propietarios de directorios: Revisa si algún cliente ha adquirido la propiedad de directorios que no le corresponden, especialmente aquellos que deberían pertenecer a
rooto a otros usuarios del sistema.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas, por lo que la detección debe basarse en la revisión manual de los puntos anteriores.
Mitigación y actualización
La única corrección confirmada para esta vulnerabilidad es la actualización a la versión 2.3.15 de froxlor, publicada por el fabricante. El commit 0805a7e16a223d528b51d8cacfaff54217b9d8f8 en el repositorio oficial de GitHub contiene el parche que corrige el problema en Statistics::makeChownWithNewStats.
Mientras se aplica la actualización, se recomienda adoptar las siguientes medidas temporales:
- Restringir el acceso a la funcionalidad de estadísticas: Si es posible, deshabilita temporalmente la generación de estadísticas de goaccess para los clientes autenticados.
- Supervisar el cron de tráfico: Revisa periódicamente los logs del cron que ejecuta el proceso de estadísticas con privilegios de root para detectar actividades anómalas.
- Limitar permisos de escritura: Asegúrate de que los clientes no puedan crear enlaces simbólicos en sus raíces de documentos que apunten a directorios fuera de su ámbito.
Estas mitigaciones son provisionales y no sustituyen a la aplicación del parche oficial. La actualización a la versión 2.3.15 debe realizarse lo antes posible.
Checklist para administradores
- ☐ Confirmar la versión de froxlor instalada en todos los servidores.
- ☐ Identificar si alguna instancia es anterior a la versión 2.3.15.
- ☐ Revisar los directorios de estadísticas de goaccess en las raíces de documentos de los clientes.
- ☐ Buscar enlaces simbólicos sospechosos que apunten fuera de los directorios de los clientes.
- ☐ Auditar los propietarios de directorios del sistema para detectar cambios no autorizados.
- ☐ Aplicar la actualización a froxlor 2.3.15 en todos los servidores afectados.
- ☐ Verificar la integridad del sistema tras la actualización.
- ☐ Monitorizar los logs del cron de tráfico durante los próximos días.
- ☐ Revisar el aviso oficial del fabricante y las referencias de seguridad para obtener información adicional.
Preguntas frecuentes
¿Qué es CWE-59 y por qué es relevante aquí?
CWE-59 corresponde a «Improper Link Resolution Before File Access (Link Following)», es decir, una resolución incorrecta de enlaces antes del acceso a archivos. En este caso, el código de froxlor sigue un enlace simbólico creado por un cliente autenticado y ejecuta chown -R sobre el destino, lo que permite al atacante obtener la propiedad de directorios del sistema.
¿Qué nivel de acceso necesita un atacante para explotar esta vulnerabilidad?
Según el vector CVSS publicado, se requiere privilegios bajos (PR:L) y no se necesita interacción del usuario (UI:N). El atacante debe ser un cliente autenticado en la plataforma froxlor con capacidad para modificar su raíz de documentos.
¿La vulnerabilidad permite la ejecución remota de código?
La descripción publicada indica que la explotación permite a un cliente autenticado tomar posesión de directorios arbitrarios del host, lo que puede conducir a una escalada de privilegios hasta root. No se menciona explícitamente la ejecución remota de código, pero la escalada a root podría permitirla indirectamente.
¿Qué datos se ven comprometidos si se explota esta vulnerabilidad?
El impacto es alto en confidencialidad, integridad y disponibilidad (VC:H/VI:H/VA:H). Un atacante que obtenga la propiedad de directorios root podría leer, modificar o eliminar archivos críticos del sistema, así como comprometer la disponibilidad del servicio.
¿Existe algún exploit público disponible?
Las fuentes consultadas no publican información sobre exploits públicos. La ausencia de esta información no debe interpretarse como una garantía de que no existan.
¿Debo preocuparme si no utilizo la funcionalidad de estadísticas de goaccess?
Sí. Aunque la vulnerabilidad se encuentra en el módulo de estadísticas, el cron que ejecuta el proceso corre con privilegios de root. Si la funcionalidad está presente en el código, incluso sin uso activo, el riesgo persiste hasta que se aplique la actualización.