CVE-2026-54674 in FreePBX
Sumário
de VulDB • 28/09/2026
O FreePBX é um IP PBX de código aberto. Antes das versões 16.0.39 e 17.0.7, os usuários autenticados por meio do Painel de Controle do Usuário (UCP) são capazes de executar comandos arbitrários no PBX como o usuário do servidor web (tipicamente asterisk), utilizando strings HTTP especialmente elaboradas. É necessário acesso autenticado ao UCP. Observe que é mais comum para usuários com menos privilégios terem acesso ao UCP em comparação com o acesso ao Painel de Controle do Administrador (ACP) (que geralmente é restrito a contas de administrador de nível superior do FreePBX). A sanitização insuficiente de certos parâmetros de URL utilizados pelo UCP não levou totalmente em conta strings maliciosas nesses campos. Isso poderia resultar na execução de binários no servidor host por meio da combinação cuidadosa de comandos. Este problema foi corrigido nas versões 16.0.39 e 17.0.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.