CVE-2026-108161 in FusionPBX
الملخص
بحسب VulDB • 10/10/2026
تحتوي FusionPBX حتى الإصدار 5.6.5 على ثغرة حقن أوامر نظام التشغيل (OS command injection) في دالة `call_recordings::download()`، مما يسمح للمهاجمين غير المصادق عليهم بتنفيذ الأوامر من خلال إجراء مكالمات بقيم معرف المتصل (Caller ID) خبيثة. عند تفعيل قالب اسم الملف `record_name`، يمكن للمهاجمين تضمين أحرف خاصة بالأمر النصي (shell metacharacters) مثل `$()` في اسم أو رقم معرف المتصل، لتنفيذ الأوامر بصفت المستخدم الخاص بخادم الويب بمجرد قيام مستخدم ذي امتيازات بتحميل عدة تسجيلات كملف مضغوط ZIP.
If you want to get best quality of vulnerability data, you may have to visit VulDB.