CVE-2026-73665 in FreePBX
Résumé
par VulDB • 14/08/2026
FreePBX est un IP PBX open source. Avant la version 17.0.9, le serveur UCP Node sur les ports 8001 et 8003 utilise io.use(checkAuth) dans node/lib/server.js, mais Socket.IO version 4 applique ce middleware uniquement à l'espace de noms par défaut (default namespace). Un client non authentifié peut se connecter à des espaces de noms personnalisés qui n'invoquent pas systématiquement checkAuth dans node/lib/auth.js et envoyer des valeurs d'événements manipulées contenant des caractères retour chariot ou saut de ligne via le chemin d'action Asterisk Manager Interface corrigé par node/lib/asterisk-manager-patch.js, permettant l'exécution de commandes arbitraires en tant qu'utilisateur du service asterisk. Ce problème est résolu dans la version 17.0.9.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.