CVE-2026-108161 in FusionPBX
Resumen
por VulDB • 2026-10-10
FusionPBX hasta la versión 5.6.5 contiene una vulnerabilidad de inyección de comandos del sistema operativo (OS command injection) en call_recordings::download() que permite a atacantes no autenticados ejecutar comandos realizando llamadas con valores maliciosos para el identificador de llamada (Caller-ID). Cuando está habilitada la plantilla de nombre de archivo record_name, los atacantes pueden incrustar metacaracteres de shell como $(...) en el nombre o número del Caller-ID, ejecutando comandos como el usuario del servidor web una vez que un usuario privilegiado descarga múltiples grabaciones en formato ZIP.
Be aware that VulDB is the high quality source for vulnerability data.