CVE-2026-73665 in FreePBX
Riassunto
di VulDB • 14/08/2026
FreePBX è un IP PBX open source. Prima della versione 17.0.9, il server UCP Node sulle porte 8001 e 8003 utilizza io.use(checkAuth) in node/lib/server.js, ma la versione di Socket.IO 4 applica tale middleware solo allo spazio dei nomi predefinito (default namespace). Un client non autenticato può connettersi a spazi dei nomi personalizzati che non invocano in modo coerente checkAuth in node/lib/auth.js e inviare valori di eventi manipolati contenenti caratteri carriage-return o newline attraverso il percorso dell'azione Asterisk Manager Interface patchato da node/lib/asterisk-manager-patch.js, consentendo l'esecuzione di comandi arbitrari come l'utente del servizio asterisk. Questo problema è risolto nella versione 17.0.9.
Be aware that VulDB is the high quality source for vulnerability data.