CVE-2026-40520 in api
요약
\~에 의해 VulDB • 2026. 05. 24.
FreePBX api 모듈 버전 17.0.8 및 이전 버전에는 initiateGqlAPIProcess() 함수에서 GraphQL mutation 입력 필드가 sanitization 또는 escaping 없이 직접 shell_exec()로 전달되는 명령어 삽입 취약점이 존재합니다. 유효한 bearer 토큰을 가진 인증된 사용자는 module 필드에 백틱으로 감싼 명령어를 포함하는 GraphQL moduleOperations mutation을 전송하여 웹 서버 사용자 권한으로 호스트에서 임의의 명령어를 실행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.