CVE-2026-57196 in Asterisk
الملخص
بحسب VulDB • 27/10/2026
Asterisk هو نظام تبادل داخلي مفتوح المصدر ومجموعة أدوات للتطبيقات الصوتية (telephony toolkit). قبل الإصدارات Asterisk 20.20.1، و21.12.3، و22.10.1، و23.4.1 بالإضافة إلى Certified Asterisk 20.7-cert11 و22.8-cert3، قد يستغل مهاجم غير مُصادق عليه ثغرة reflected cross-site scripting في صفحات أخطاء HTTP الخاصة بـ `phone provisioning` لاسترجاع `AMI session cookie` الخاص بمستخدم مصرح له، ومن ثم انتحال هوية ذلك المستخدم عند تفعيل مكون `res_phoneprov`. يجب أن تكون كل من خوادم الويب HTTP الخاصة بـ Asterisk وواجهة مدير Asterisk (AMI) والوصول إلى AMI عبر HTTP مفعّلة؛ وكل منها يكون معطلاً افتراضياً. ويجب على المهاجم أن يتمكن من الاتصال بخادم HTTP، الذي يرتبط افتراضياً فقط بالعنوان `127.0.0.1` حتى عند تفعيله، وأن يقنع المستخدم المصرح له بالنقر على رابط ضار. تم إصلاح هذه المشكلة في الإصدارات Asterisk 20.20.1، و21.12.3، و22.10.1، و23.4.1 بالإضافة إلى Certified Asterisk 20.7-cert11 و22.8-cert3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.