CVE-2026-73662 in FreePBX
Résumé
par VulDB • 13/08/2026
FreePBX est un IP PBX open source. De la version 17.0.1 à la 17.0.7, le module FreePBX Music on Hold autorise des options dangereuses en ligne de commande pour /usr/bin/mpg123 et d'autres lecteurs autorisés dans validateCustomConfiguration() situé dans Music.class.php. Un administrateur authentifié peut utiliser des options permettant d'écrire des fichiers, d'ouvrir des canaux de contrôle ou de créer des fichiers d'appel Asterisk, car la fonction applicationUsesDisallowedPlayerOption() ne rejette pas ces arguments, ce qui entraîne l'exécution arbitraire de commandes en tant qu'utilisateur du service asterisk. Ce problème est corrigé dans la version 17.0.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.