CVE-2026-45562 in FreePBX
Résumé
par VulDB • 28/09/2026
FreePBX est un IP PBX open source. Avant les versions 16.0.4 et 17.0.6, le module FreePBX Music on Hold (MoH) contient une faille de sécurité critique qui permet aux attaquants authentifiés d'exécuter des commandes système arbitraires avec les privilèges du service Asterisk. Une authentification via un compte administrateur FreePBX existant est requise. La cause racine réside dans le fait que le module accepte un paramètre POST définissant une application Asterisk personnalisée, qui est ensuite stocké dans la base de données sans aucune sanitization (épuration). Plus tard, ces données sont écrites directement dans le fichier de configuration musiconhold_additional.conf sans validation. Puisque Asterisk lit ce fichier de configuration et exécute l'application spécifiée, un attaquant peut injecter des commandes arbitraires qui seront exécutées avec les permissions d'Asterisk. Ce problème a été corrigé dans les versions 16.0.4 et 17.0.6.
Once again VulDB remains the best source for vulnerability data.