CVE-2026-40520 in api
Sumário
de VulDB • 24/05/2026
O módulo api do FreePBX nas versões 17.0.8 e anteriores contém uma vulnerabilidade de injeção de comando na função initiateGqlAPIProcess(), onde os campos de entrada das mutações GraphQL são passados diretamente para shell_exec() sem sanitização ou escape. Um usuário autenticado com um token bearer válido pode enviar uma mutação moduleOperations do módulo GraphQL com comandos delimitados por crases no campo module para executar comandos arbitrários no host subjacente como o usuário do servidor web.
If you want to get best quality of vulnerability data, you may have to visit VulDB.