oss-security-list@demlak.de 报告：

由于 froxlor 版本 0.9.33.1 和更早版本中 /logs/ 文件夹的错误文件权限，未认证的远程攻击者能够通过 webaccess 获取数据库密码。/logs/sql-error.log 文件中可能存储 SQL 明文密码和用户名。此目录在默认 configuration/setup 下可公开访问。

请注意，froxlor 0.9.33.2 禁止以后在日志中记录密码，但不能追溯性删除已经记录的密码。Froxlor 首席开发人员 Michael Kaufmann 报告：

从该目录中删除所有 .log 文件应该有效，或者只使用 Github 中的 class.ConfigIO.php

检测

FreeBSD：froxlor -- 数据库密码信息泄漏 (9ee72858-4159-11e5-93ad-002590263bf5)

critical Nessus 插件 ID 85369

未找到变更日志