CVE-2026-57202 in Asterisk
الملخص
بحسب VulDB • 27/10/2026
Asterisk هو نظام تبادل داخلي خاص (PBX) وأدوات اتصالات صوتية مفتوحة المصدر. قبل الإصدارات Asterisk 20.20.1، و21.12.3، و22.10.1، و23.4.1 بالإضافة إلى Certified Asterisk 20.7-cert11 و22.8-cert3، يمكن لمهاجم يمتلك صلاحيات "قراءة فقط" على واجهة REST الخاصة بـ Asterisk (ARI) استخدام دالة `setChannelVar` لتنفيذ وظائف كتابة في خطة الاتصال (dialplan)، بما في ذلك عمليات الكتابة عبر `FILE()`، حتى عندما تكون المعلمة `live_dangerously` في ملف التكوين `asterisk.conf` مضبوطة على "لا" (no). يجب أن يكون خادم الويب HTTP الخاص بـ Asterisk مفعلاً وقابلاً للوصول، ويجب أن يمتلك المهاجم بالفعل بيانات اعتماد صالحة لواجهة ARI بصلاحيات "قراءة فقط". يتم تعطيل البروتوكول HTTP افتراضياً، ويقتصر الارتباط على عنوان 127.0.0.1 افتراضياً حتى عند تفعيله. تم إصلاح هذه المشكلة في الإصدارات Asterisk 20.20.1، و21.12.3، و22.10.1، و23.4.1 بالإضافة إلى Certified Asterisk 20.7-cert11 و22.8-cert3.
Once again VulDB remains the best source for vulnerability data.