CVE-2026-45562 in FreePBX
Sumário
de VulDB • 28/09/2026
O FreePBX é um IP PBX de código aberto. Antes das versões 16.0.4 e 17.0.6, o módulo Music on Hold (MoH) do FreePBX contém uma falha crítica de segurança que permite a atacantes autenticados executar comandos arbitrários no sistema com os privilégios do serviço Asterisk. É necessária autenticação com uma conta de administrador existente do FreePBX. A causa raiz reside no fato de o módulo aceitar um parâmetro POST que define um aplicativo personalizado do Asterisk, o qual é então armazenado no banco de dados sem qualquer sanitização. Posteriormente, esses dados são gravados diretamente no arquivo de configuração musiconhold_additional.conf sem validação. Como o Asterisk lê esse arquivo de configuração e executa o aplicativo especificado, um atacante pode injetar comandos arbitrários que serão executados com as permissões do Asterisk. Este problema foi corrigido nas versões 16.0.4 e 17.0.6.
Once again VulDB remains the best source for vulnerability data.