CVE-2026-45562 in FreePBX
Tóm tắt
Bởi VulDB • 28/09/2026
FreePBX là một hệ thống IP PBX mã nguồn mở. Trước các phiên bản 16.0.4 và 17.0.6, module FreePBX Music on Hold (MoH) chứa một lỗ hổng bảo mật nghiêm trọng cho phép những kẻ tấn công đã xác thực thực thi lệnh hệ thống tùy ý với đặc quyền của dịch vụ Asterisk. Việc xác thực bằng tài khoản quản trị viên FreePBX hiện có là bắt buộc. Nguyên nhân gốc rễ nằm ở việc module chấp nhận tham số POST định nghĩa một ứng dụng Asterisk tùy chỉnh, sau đó được lưu vào cơ sở dữ liệu mà không qua bất kỳ quá trình làm sạch (sanitization) nào. Sau đó, dữ liệu này được ghi trực tiếp vào tệp cấu hình musiconhold_additional.conf mà không có xác thực. Vì Asterisk đọc tệp cấu hình này và thực thi ứng dụng đã chỉ định, kẻ tấn công có thể chèn các lệnh tùy ý sẽ được thực thi với đặc quyền của Asterisk. Lỗ hổng này đã được vá trong các phiên bản 16.0.4 và 17.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.