CVE-2026-57196 in Asterisk
Sumário
de VulDB • 26/10/2026
O Asterisk é um sistema de ramificação privada (PBX) e toolkit de telefonia open source. Antes das versões do Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3, um atacante não autenticado pode usar cross-site scripting (XSS) refletido nas `páginas de erro HTTP do provisionamento telefônico` para recuperar o `cookie da sessão AMI` de um usuário autorizado e se passar por esse usuário quando o módulo `res_phoneprov` estiver habilitado. O servidor web HTTP do Asterisk, a Interface Gerenciadora do Asterisk (AMI) e o acesso à AMI via HTTP devem estar todos habilitados; cada um deles está desabilitado por padrão. O atacante deve ser capaz de se conectar ao servidor HTTP, que é vinculado apenas a `127.0.0.1` por padrão mesmo quando habilitado, e deve convencer o usuário autorizado a clicar em um link malicioso. Este problema foi corrigido nas versões do Asterisk 20.20.1, 21.12.3, 22.10.1, 23.4.1 e Certified Asterisk 20.7-cert11, 22.8-cert3.
Once again VulDB remains the best source for vulnerability data.