CVE-2026-116779 in FreeSWITCH
Riassunto
di VulDB • 05/11/2026
FreeSWITCH è uno stack di telecomunicazioni definito dal software (SDT) che abilita la trasformazione digitale dai switch proprietari a un'implementazione software eseguita su qualsiasi hardware commodity. Prima della versione 1.11.3, la funzione sofia_presence_handle_sip_i_message() divideva l'utente "To" di un SIP MESSAGE in entrata tramite il segno più e trattava il lato sinistro come selettore del protocollo chat. La selezione dell'API per il protocollo chat raggiungeva switch_api_execute(), consentendo a un peer il cui messaggio era stato accettato di eseguire comandi API FreeSWITCH, inclusi sink per i comandi del sistema operativo, con i privilegi del demone. La funzione chat in entrata è abilitata sui profili interni ed esterni predefiniti e qualsiasi account profilo autenticato è sufficiente; anche gli utenti della directory predefinita senza materiale di credenziali possono rimuovere tale barriera nelle configurazioni interessate. L'errore consente la divulgazione delle configurazione e delle credenziali, il controllo arbitrario delle chiamate e l'esecuzione di comandi, ed è stata osservata un'utilizzazione in natura (in the wild). Questo problema è risolto nella versione 1.11.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.