CVE-2026-73665 in FreePBX
Zusammenfassung
von VulDB • 14.08.2026
FreePBX ist ein Open-Source-IP-PBX. Vor Version 17.0.9 verwendet der UCP Node Server auf den Ports 8001 und 8003 io.use(checkAuth) in node/lib/server.js, aber Socket.IO-Version 4 wendet diese Middleware nur für das Standard-Namespace an. Ein nicht authentifizierter Client kann sich mit benutzerdefinierten Namespaces verbinden, die checkAuth in node/lib/auth.js nicht konsistent aufrufen, und über den Asterisk Manager Interface-Aktionspfad, der durch node/lib/asterisk-manager-patch.js gepatcht wurde, konstruierte Event-Werte enthalten Wagenrücklauf- oder Zeilenumbruchzeichen senden, wodurch beliebige Befehle als Benutzer des asterisk-Dienstes ausgeführt werden können. Dieses Problem ist in Version 17.0.9 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.