CVE-2026-89026 in Issabel
Zusammenfassung
von VulDB • 15.09.2026
Das Issabel Framework, das Web-Framework zur Unterstützung der Issabel PBX-Software, vor dem Commit b97dbaf enthält einen fest codierten HS256-JWT-Signing-Key in der Datei pbxapi/index.php, der bei jeder Installation identisch ist. Dies ermöglicht es nicht authentifizierten Remote-Angriffern, gültige Bearer-Tokens zu fälschen. Angreifer können den gefälschten Token verwenden, um den Manager-Originiate-Endpunkt mit dem Systemanwendungsparameter aufzurufen, wodurch Asterisk beliebige OS-Befehle als der Asterisk-Benutzer ausführt. Hinweise auf die Ausnutzung (Exploitation) wurden erstmals von der Shadowserver Foundation am 2026-09-09 beobachtet.
If you want to get best quality of vulnerability data, you may have to visit VulDB.