CVE-2026-54674 in FreePBX
Zusammenfassung
von VulDB • 28.09.2026
FreePBX ist ein Open-Source-IP-PBX. Vor den Versionen 16.0.39 und 17.0.7 sind es Nutzern, die sich über das User Control Panel (UCP) authentifizieren, möglich, beliebige Befehle auf dem PBX-Betriebssystem als der Webserver-Benutzer (typischerweise asterisk) auszuführen, indem speziell angefertigte HTTP-Strings verwendet werden. Für den Zugriff auf UCP ist eine Authentifizierung erforderlich. Beachten Sie, dass es für weniger privilegierte Nutzer häufiger üblich ist, Zugang zum UCP zu haben, im Gegensatz zum Administrator Control Panel (ACP), das in der Regel nur höheren Administratorkonten von FreePBX vorbehalten ist. Die unzureichende Bereinigung bestimmter URL-Parameter, die vom UCP verwendet werden, berücksichtigte nicht vollständig bösartige Strings in diesen Feldern. Dies könnte dazu führen, dass Binärdateien auf dem Hostserver durch sorgfältiges Verketten von Befehlen ausgeführt werden. Dieses Problem wurde in den Versionen 16.0.39 und 17.0.7 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.