CVE-2026-54674 in FreePBX
요약
\~에 의해 VulDB • 2026. 09. 29.
FreePBX는 오픈 소스 IP PBX입니다. 버전 16.0.39 및 17.0.7 이전에서는 User Control Panel(UCP)를 통해 인증된 사용자가 특별히 조작된 HTTP 문자열을 사용하여 웹서버 사용자(일반적으로 asterisk) 권한으로 PBX에서 임의 명령을 실행할 수 있습니다. UCP에 대한 인증된 접근이 필요합니다. 일반적으로 덜 privileged한 사용자는 Administrator Control Panel(ACP, 주로 FreePBX 상위 관리자 계정만 보유) 접근권보다 UCP 접근권을 가질 가능성이 더 높다는 점에 유의하십시오. UCP가 사용하는 특정 URL 매개변수의 불충분한 sanitization으로 인해 이러한 필드의 악의적인 문자열이 완전히 처리되지 않았습니다. 이를 통해 신중하게 명령을 chaining하여 호스트 서버에서 바이너리가 실행될 수 있습니다. 이 문제는 버전 16.0.39 및 17.0.7에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.