CVE-2026-41233Froxlor是一款开源服务器管理软件。在2.3.6版本之前，其`Domains.add()`接口存在权限绕过漏洞。由于缺乏对`adminid`参数的有效验证，没有`customers_see_all`权限的转售商可以将新创建的域名归属给任意管理员。这导致转售商可以绕过自身的域名配额限制，并可能耗尽其他管理员的资源配额。
该漏洞源于Froxlor在处理域名添加请求时的逻辑缺陷。在`Domains.add()`方法中，程序直接从用户输入获取`adminid`参数，并将其用于后续的域名归属处理，而未验证当前操作者（转售商）是否拥有查看所有客户的权限（即`customers_see_all`权限）。
在正常逻辑下，转售商只能在其自身的配额范围内添加域名，且域名应归属于自己。然而，由于缺少验证，转售商可以通过篡改请求包中的`adminid`字段，将其指向系统中存在的任意管理员ID。系统在处理时，会错误地增加目标管理员的`domains_used`计数器，而非发起请求的转售商计数器。这不仅允许转售商突破自身的数量限制，还能通过大量创建域名归咎于他人，导致目标管理员资源耗尽，造成拒绝服务或权限混乱。