Veille sécuritéBackend & données
P4Moyenne
Dans Froxlor avant la version 2.3.15, des clients authentifiés pouvaient créer des bases MySQL via l’API `Mysqls.add`, même lorsque l’administrateur avait désactivé cette fonctionnalité. Le contrôle d’autorisation `customer_hide_options` manquait sur cette opération; mettre à jour vers Froxlor 2.3.15.
MySQL
IdentifiantCVE-2026-121435
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifFroxlor 2.3.15
Source : NVD — CVE-2026-121435
Analyse technique
Des clients authentifiés pouvaient appeler `Mysqls.add` malgré la désactivation administrative de la fonctionnalité MySQL. L’impact décrit est la création de bases dans les limites de leur quota.
Impact, versions et correctif
Événement datéAvis publié par le NVD le 2026-11-03 à 15:17:34.783 UTC, dans la période demandée; l’avis GitHub correspondant est également daté du 2026-11-03.
ImpactUn client authentifié pouvait créer une base MySQL malgré la désactivation administrative de cette fonctionnalité, dans la limite de son quota.
Versions affectéesFroxlor avant 2.3.15
Version corrigéeFroxlor 2.3.15
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.3
Publication2026-11-03T15:17:34.783+00:00
Mise à jour2026-11-03T15:17:34.910+00:00
Action recommandée
Mettre à jour Froxlor vers la version 2.3.15 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).