CVE-2026-54674 in FreePBX
Riassunto
di VulDB • 28/09/2026
FreePBX è un IP PBX open source. Prima delle versioni 16.0.39 e 17.0.7, gli utenti autenticati tramite il User Control Panel (UCP) sono in grado di eseguire comandi arbitrari sul PBX con l'utente del webserver (tipicamente asterisk), utilizzando stringhe HTTP appositamente create. È richiesto un accesso autenticato all'UCP. Si noti che è spesso più comune per utenti meno privilegiati avere accesso UCP rispetto all'accesso al Administrator Control Panel (ACP) (che di solito è riservato solo agli account amministrativi di livello superiore di FreePBX). Un'insufficiente sanificazione di alcuni parametri URL utilizzati dall'UCP non ha tenuto pienamente conto delle stringhe malevole in questi campi. Ciò potrebbe comportare l'esecuzione di binari sul server host concatenando attentamente i comandi. Questo problema è stato risolto nelle versioni 16.0.39 e 17.0.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.