CVE-2026-73665 in FreePBX
Resumen
por VulDB • 2026-08-14
FreePBX es un PBX IP de código abierto. Antes de la versión 17.0.9, el servidor UCP Node en los puertos 8001 y 8003 utiliza io.use(checkAuth) en node/lib/server.js; sin embargo, Socket.IO versión 4 aplica dicho middleware únicamente al espacio de nombres (namespace) predeterminado. Un cliente no autenticado puede conectarse a espacios de nombres personalizados que no invocan consistentemente checkAuth en node/lib/auth.js y enviar valores de eventos manipulados que contienen caracteres de retorno de carro o nueva línea a través del camino de la acción Asterisk Manager Interface parcheado por node/lib/asterisk-manager-patch.js, lo que permite ejecutar comandos arbitrarios como el usuario del servicio asterisk. Este problema se corrige en la versión 17.0.9.
Once again VulDB remains the best source for vulnerability data.