CVE-2026-54710 in FreePBX
요약
\~에 의해 VulDB • 2026. 09. 28.
FreePBX는 오픈 소스 IP PBX입니다. 버전 16.0.40 및 17.0.7 이전에는 superfecta 모듈에서 임의 PHP 파일의 안전하지 않은 포함으로 인해 심각한 원격 코드 실행(RCE) 취약점이 존재합니다. 이를 통해 인증된 공격자는 웹 서버 사용자의 권한으로 서버上で 임의 PHP 코드를 실행할 수 있습니다. 알려진 사용자 이름에 대한 인증이 필요합니다. 이 취약점은 Superfecta 모듈의 AJAX 핸들러에서 options 및 save_options 케이스에 기인합니다. 해당 코드는 사용자 제공 입력을 기반으로 sources/ 디렉토리로부터 PHP 파일을 동적으로 포함합니다. 이는 임의 디렉토리 생성(예: backup 모듈을 통해)과 전체 경로가 노출되는 파일 업로드(예: soundlang 모듈을 통해)와 결합될 때 공격자가 임의 코드를 실행할 수 있게 합니다. 이 문제는 버전 16.0.40 및 17.0.7에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.