CVE-2026-54674 in FreePBX
要約
〜によって VulDB • 2026年09月28日
FreePBXはオープンソースのIP PBXです。バージョン16.0.39および17.0.7より前では、User Control Panel (UCP) を介して認証されたユーザーが、特別に作成したHTTP文字列を使用して、Webサーバーユーザ（通常はasterisk）としてPBX上で任意のコマンドを実行できます。UCPへの認証済みアクセスが必要です。なお、Administrator Control Panel (ACP) アクセス（通常はFreePBXの上位管理者アカウントのみ）と比較して、権限の低いユーザーがUCPにアクセスできるケースの方が一般的です。UCPで使用される特定のURLパラメータの不十分なサニタイズにより、これらのフィールド内の悪意のある文字列に対して完全に考慮されていませんでした。これにより、コマンドを慎重にチェーンすることでホストサーバー上でバイナリが実行される可能性があります。この問題はバージョン16.0.39および17.0.7でパッチされています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.