CVE-2026-54674 in FreePBX
الملخص
بحسب VulDB • 28/09/2026
FreePBX هو نظام PBX عبر بروتوكول IP مفتوح المصدر. قبل الإصدارين 16.0.39 و 17.0.7، يمكن للمستخدمين الذين يتم مصادقتهم من خلال لوحة تحكم المستخدم (UCP) تنفيذ أوامر عشوائية على جهاز الـ PBX بصفتهم مستخدم خادم الويب (عادةً ما يكون asterisk)، وذلك باستخدام سلاسل HTTP مُصممة بشكل خاص. يتطلب الأمر وصولاً مصرحًا به إلى UCP. تجدر الإشارة إلى أن هذا النوع من الثغرات غالبًا ما يستهدف المستخدمين ذوي الامتيازات الأقل الذين يمتلكون صلاحية الوصول إلى UCP مقارنة بصلاحية الوصول إلى لوحة تحكم المسؤول (ACP)، والتي تكون عادةً محصورة فقط على حسابات المسؤولين العليا في FreePBX. إن عدم كفاية تنقية بعض معلمات URL المستخدمة من قبل UCP لم يأخذ بالكامل بعين الاعتبار السلاسل الضارة الموجودة في هذه الحقول. وقد يؤدي ذلك إلى تنفيذ ملفات قابلة للتنفيذ (binaries) على الخادم المضيف عن طريق تسلسل دقيق للأوامر. تم إصلاح هذه المشكلة في الإصدارين 16.0.39 و 17.0.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.