In Froxlor, una chiave API con i permessi giusti basta per arrivare ai segreti che tengono in piedi gli account. Nelle versioni precedenti alla 2.3.8, alcuni endpoint restituiscono record completi del database e non una risposta ripulita, così saltano fuori hash delle password e seed TOTP di clienti, amministratori e account FTP.
INCIBE-CERT segnala CVE-2026-62988 e Froxlor attribuisce la correzione alla versione 2.3.8. Il problema non è un semplice leak di profilo: chi ottiene quei dati può tentare il cracking offline delle password e generare codici 2FA validi, trasformando una compromissione della chiave di integrazione in takeover degli account.
Per chi gestisce pannelli Froxlor, il punto è che revocare la chiave non basta a chiudere il danno già fatto. Se hash e seed sono stati esposti, la superficie resta credenziale riutilizzabile anche dopo la patch.