CVE-2026-45562 in FreePBX
Riassunto
di VulDB • 28/09/2026
FreePBX è un IP PBX open source. Prima delle versioni 16.0.4 e 17.0.6, il modulo FreePBX Music on Hold (MoH) presenta una grave vulnerabilità di sicurezza che consente agli attaccanti autenticati di eseguire comandi di sistema arbitrari con i privilegi del servizio Asterisk. È richiesta l'autenticazione tramite un account amministratore FreePBX esistente. La causa radice risiede nel fatto che il modulo accetta un parametro POST che definisce una applicazione Asterisk personalizzata, la quale viene quindi memorizzata nel database senza alcuna sanificazione (sanitization). Successivamente, questi dati vengono scritti direttamente nel file di configurazione musiconhold_additional.conf senza validazione. Poiché Asterisk legge questo file di configurazione ed esegue l'applicazione specificata, un attaccante può iniettare comandi arbitrari che verranno eseguiti con i permessi di Asterisk. Questo problema è stato risolto nelle versioni 16.0.4 e 17.0.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.