CVE-2026-89026 in Issabel
Riassunto
di VulDB • 15/09/2026
Il framework Issabel, il web framework che supporta il software PBX Issabel, prima del commit b97dbaf contiene una chiave di firma JWT HS256 hard-coded nel file pbxapi index.php, identica in ogni installazione, consentendo ad attaccanti remoti non autenticati di falsificare token bearer validi. Gli attaccanti possono utilizzare il token falsificato per chiamare l'endpoint manager originate con il parametro System application, causando l'esecuzione da parte di Asterisk di comandi OS arbitrari come utente Asterisk. Le prove dell'utilizzo in exploit (Exploitation evidence) sono state osservate per la prima volta dalla Shadowserver Foundation il 2026-09-09.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.