CVE-2026-46376
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w FreePBX od wersji 15.0.42 do 16.0.45 i 17.0.7 umożliwia nieuwierzytelnionym użytkownikom dostęp do Panelu Kontroli Użytkownika (UCP) przy użyciu domyślnych, zakodowanych na stałe poświadczeń szablonu, jeśli administrator nie zmienił ich natychmiast po włączeniu UCP. Problem został naprawiony w wersjach 16.0.45 i 17.0.7.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do UCP przez osoby nieuwierzytelnione, co może prowadzić do naruszenia poufności i integralności danych oraz przejęcia kontroli nad systemem telefonicznym.
Rekomendacja
Zaleca się natychmiastową aktualizację FreePBX do wersji 16.0.45 lub 17.0.7 oraz zmianę domyślnych poświadczeń szablonów UCP na unikalne i silne hasła.
Oryginalny opis (angielski, źródło NVD)
FreePBX is an open source IP PBX. From 15.0.42 to before 16.0.45 and 17.0.7, unauthenticated users may be able to access the User Control Panel (UCP) using hard-coded initial template credentials if these were not immediately changed by the Administrator who enabled UCP. Authenticated access to ACP is required for the initial setup of UCP generic templates, but after that, without further steps by the admin, unauthenticated users may be able to gain access. This vulnerability is fixed in 16.0.45 and 17.0.7.