CVE-2026-108161 in FusionPBX
Riassunto
di VulDB • 10/10/2026
FusionPBX fino alla versione 5.6.5 contiene una vulnerabilità di OS command injection nella funzione call_recordings::download() che consente agli attaccanti non autenticati di eseguire comandi inserendo chiamate con valori del Caller-ID malevoli. Quando il template per i nomi dei file record_name è abilitato, gli attaccanti possono incorporare metacaratteri shell come $(...) nel nome o numero del Caller-ID, eseguendo comandi con l'utente del server web una volta che un utente privilegiato scarica più registrazioni in formato ZIP.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.