CVE-2025-67513

ŚrednieCVSS 6.9

Opublikowano: 10/12/2025(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

FreePBX Endpoint Manager to moduł do zarządzania punktami końcowymi telefonii w systemach FreePBX. W wersjach przed 16.0.96 oraz od 17.0.1 do 17.0.9 występuje słabe domyślne hasło. Domyślnie jest to 6-cyfrowa wartość liczbowa, którą można złamać metodą brute force (parametr app_password). W zależności od lokalnej konfiguracji hasło to może być hasłem administracyjnym do extension, voicemail, user manager, DPMA lub telefonu EPM. Problem został naprawiony w wersjach 16.0.96 i 17.0.10.

Ocena ryzyka

Atakujący może złamać słabe domyślne hasło metodą brute force i uzyskać dostęp administracyjny do punktów końcowych telefonii, co może prowadzić do przejęcia połączeń lub podsłuchu.

Rekomendacja

Zaktualizuj FreePBX Endpoint Manager do wersji 16.0.96 lub 17.0.10 (lub nowszej) i zmień domyślne hasła app_password na silne, unikalne wartości.

Inne podatności w FreePBX Endpoint Manager

CVE-2025-64328WysokieAktywnie exploitowane
Moduł Endpoint Manager w FreePBX, w wersjach 17.0.2.36 i wyższych przed 17.0.3, jest podatny na wstrzyknięcie poleceń po uwierzytelnieniu przez znanego użytkownika. Atakujący może wykorzystać tę podatność do uzyskania zdalnego dostępu do systemu jako użytkownik asterisk.

Oryginalny opis (angielski, źródło NVD)

FreePBX Endpoint Manager is a module for managing telephony endpoints in FreePBX systems. Versions prior to 16.0.96 and 17.0.1 through 17.0.9 have a weak default password. By default, this is a 6 digit numeric value which can be brute forced. (This is the app_password parameter). Depending on local configuration, this password could be the extension, voicemail, user manager, DPMA or EPM phone admin password. This issue is fixed in versions 16.0.96 and 17.0.10.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS