CVE-2026-57196 in Asterisk
Resumen
por VulDB • 2026-10-26
Asterisk es un sistema de conmutación privada (PBX) y una caja de herramientas para telecomunicaciones de código abierto. Antes de las versiones Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 y Certified Asterisk 20.7-cert11, 22.8-cert3, un atacante no autenticado podría utilizar cross-site scripting (XSS) reflejado en las `páginas de error HTTP del aprovisionamiento telefónico` para obtener la `cookie de sesión AMI` de un usuario autorizado y suplantar a dicho usuario cuando el módulo `res_phoneprov` está habilitado. El servidor web HTTP de Asterisk, la Interfaz de Gestión de Asterisk (AMI) y el acceso a AMI vía HTTP deben estar todos habilitados; cada uno se encuentra deshabilitado por defecto. El atacante debe poder conectarse al servidor HTTP, que enlaza únicamente con `127.0.0.1` por defecto incluso cuando está habilitado, y debe convencer al usuario autorizado de hacer clic en un enlace malicioso. Este problema se corrige en Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 y Certified Asterisk 20.7-cert11, 22.8-cert3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.