(9.6分) CVE-2026-100715：Froxlor 面板符号链接任意文件删除

红队安全圈
红队安全圈

红队安全圈

2026年9月27日 08:54
重庆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

Froxlor 面板三个 9.6+ 高危：低权限租户借 root cron 里的符号链接，能删任意目录甚至拿下整机，2.3.12 已修复。

01  漏洞速览

漏洞编号CVE-2026-100715

影响产品Froxlor ≤ 2.3.10

漏洞类型符号链接跟随 / 任意文件删除

危害等级CVSS 9.6 Critical

攻击前提任意已认证租户账号

影响面root 删除任意目录树

同一批公布的还有 CVE-2026-100716（导出 cron 路径校验绕过，

02  漏洞成因

根因是一套组合拳：删除 FTP 账号时，面板把清理任务塞进 cron 队列（任务 8 deleteFtpData）。任务执行时调用 FileDir::makeCorrectDir()，但没有传 $fixed\_homedir 参数——路径逐段检查符号链接的环节被整个跳过，只做字符串层面的规整。

makeCorrectDir() 会在路径尾部补一个斜杠，而 GNU rm 遇到带尾斜杠的路径会对符号链接本身解引用。最后 cron 以 root 身份对这个路径执行 rm -rf。

从任务入队到 cron 真正执行之间有时间窗，租户只要在窗口内往自己的 FTP 主目录里塞一个符号链接（指向 / 或其他关键目录），root 的删除任务就会顺着链接把目标目录树整个删掉。

100716 是同一思路的变体：导出任务的路径组件遍历存在 off-by-one，跳过了客户主目录下的第一段，代码只对最后一个组件做了 is\_link() 检查，中间组件换成符号链接就能让 root 的 chown -R 生效，把 /etc 之类的目录 chown 给自己——利用是确定性的，不需要抢时间窗。

100717 则是校验面没盖全：parse\_url 返回的 path、query、fragment 都查了 CR/LF，唯独没查 userinfo。低权限客户提交带 CRLF 的跳转 URL，值原样写进 vhost 配置，root 重载配置后注入的指令全局生效。

03  影响范围

受影响的是 Froxlor 2.3.10 及所有更早版本，Froxlor 2.3.12 已修复。受影响最重的场景是单机多租户的共享托管环境：一个恶意租户可以毁掉同机所有站点的数据，或者直接提权到 root。

04  利用分析（危害推演）

截至发文三个漏洞都没有公开 PoC，但利用路径非常清晰，推演一下：如果我是拿到普通租户账号的攻击者，第一步是在面板里创建一个 FTP 账号，向主目录写入一个符号链接，指向 /etc 或其他关键目录。

第二步删除这个 FTP 账号，触发 deleteFtpData 任务入队。第三步等 root cron 跑起来，rm -rf 沿符号链接解引用，目标目录树被递归删除。

100716 的玩法更狠：先在客户主目录下建真实子目录并排期一次数据导出，导出执行前把中间路径组件换成指向 /etc 的符号链接，root 的 chown -R 会把 /etc 的属主改成我的 UID——拿到 /etc 写权限基本等于拿下宿主机。

三个洞的共同门槛只有一条：一个低权限租户账号。对托管商来说，这基本等于任何一个客户都能打。

05  检测排查

先确认版本：

froxlor --version 2>/dev/null || \

grep -r Version \

/var/www/froxlor/lib/

重点扫客户 webspace 和 FTP 主目录里的可疑符号链接：

find /var/customers/ -type l \

-ls 2>/dev/null

再看系统日志里 root 身份执行的 cron 记录，重点对时间线：deleteFtpData 和 DataDump 任务的入队时间与实际执行时间之间有没有异常的文件操作。

06  修复建议

升级 Froxlor 到 2.3.12 或更高版本，这是唯一彻底的修法。升级前的临时缓解：暂停 deleteFtpData 与 DataDump 两个 cron 任务；或者在宿主机内核开启 fs.protected\_symlinks=1，限制对粘滞位目录中符号链接的跟随。

升级后做一次验证：用一个测试租户账号重建符号链接场景，确认删除和导出任务不再穿越链接。

07  红队视角

这组洞在实战里价值很高：Froxlor 面向的恰恰是多租户场景，云托管、IDC、给客户开虚拟主机的面板环境里遍地都是，而只要注册一个免费空间账号就拿到了攻击前提。三个洞都不需要竞争条件，100716 的利用窗口甚至是确定性的，做持久化破坏（毁数据）和提权（chown /etc）都有完整链路。

思路可以横向关联到这几年一批面板类漏洞：凡是 root cron 按用户输入拼路径的架构，符号链接永远是第一检查项。防御方把这条记进 checklist——所有以 root 身份消费用户可控路径的地方，必须逐组件 lstat 拒绝符号链接，字符串层面的过滤等于没有过滤。

如果文章对您有收获，欢迎关注、点赞、推荐、转发。

— END —