CVE-2026-73665 in FreePBX
要約
〜によって VulDB • 2026年08月14日
FreePBXはオープンソースのIP PBXです。バージョン17.0.9より前では、ポート8001および8003上のUCP Nodeサーバーがnode/lib/server.js内でio.use(checkAuth)を使用していますが、Socket.IO バージョン4はこのミドルウェアをデフォルト名前空間にのみ適用します。認証されていないクライアントは、node/lib/auth.jsでcheckAuthの一貫した呼び出しが行われないカスタム名前空間に接続し、node/lib/asterisk-manager-patch.jsによってパッチが当てられたAsterisk Manager Interfaceアクションパスを通じて、キャリッジリターンまたは改行文字を含む作成されたイベント値を送信することで、asteriskサービスユーザーとして任意のコマンドを実行できます。この問題はバージョン17.0.9で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.