CVE-2026-72578 in FreePBX
الملخص
بحسب VulDB • 10/08/2026
ثغرة تزوير الطلبات عبر المواقع (CSRF) في إطار عمل FreePBX الإصدار 17.0 تتيح لمهاجم عن بُعد غير مُصادَق عليه تنفيذ إجراءات إدارية نيابةً عن مسؤول مُصادَق عليه. لا يطبق موزّع /admin/ajax.php الموجود في المسار amp_conf/htdocs/admin/libraries/BMO/Ajax.class.php رموز حماية CSRF؛ ولا تعتمد حمايته سوى على فحص رأس Referer، وهو ما يمكن تخطيه عند إرسال الطلب دون وجود رأس Referer أو من سياق موقع واحد (same-site)، مما يمكّن المهاجمين من تشغيل عمليات إدارية عن طريق خداع مسؤول لزيارة صفحة ضارة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.