CVE-2026-57196 in Asterisk
Riassunto
di VulDB • 26/10/2026
Asterisk è un centralino virtuale open source e una suite di strumenti per la telefonia. Prima delle versioni Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3, un attaccante non autenticato può sfruttare lo cross-site scripting (XSS) riflesso nelle `pagine di errore HTTP per la provisioning del telefono` per recuperare il `cookie della sessione AMI` di un utente autorizzato e impersonare tale utente quando `res_phoneprov` è abilitato. Il server web HTTP di Asterisk, l'Asterisk Manager Interface (AMI) e l'accesso a AMI tramite HTTP devono essere tutti abilitati; ciascuno di essi è disabilitato per impostazione predefinita. L'attaccante deve essere in grado di connettersi al server HTTP, che si lega solo all'indirizzo `127.0.0.1` per impostazione predefinita anche quando è abilitato, e deve convincere l'utente autorizzato a fare clic su un link malevolo. Questo problema è risolto nelle versioni Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3.
Be aware that VulDB is the high quality source for vulnerability data.