CVE-2026-46512
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W Frogman przed wersją 1.6.2, funkcja fm_dialplan_apply akceptowała parametry szablonu (greeting, dest, url, extension, code, file) bez odpowiedniego oczyszczania, co pozwalało użytkownikowi z uprawnieniami PERM_WRITE i parametrem confirm:true na wstrzyknięcie dowolnych dyrektyw Asterisk, takich jak System(), Set(SHELL(...)), Goto lub Macro. Luka została naprawiona w wersji 1.6.2.
Ocena ryzyka
Atakujący z uprawnieniami do zapisu może zdalnie wykonać dowolne polecenia systemowe na serwerze Asterisk, co prowadzi do pełnego przejęcia kontroli nad systemem telefonicznym i potencjalnie całym serwerem.
Rekomendacja
Niezwłocznie zaktualizuj Frogman do wersji 1.6.2 lub nowszej. Ogranicz dostęp do funkcji dialplan tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Frogman provides headless PBX control through MCP and HTTP API. Prior to 1.6.2, fm_dialplan_apply accepted template parameters including greeting, dest, url, extension, code, and file, and Tools/DialplanApply.php wrote Dialplan/Templates.php output to extensions_custom.conf while only Dialplan/TemplateBase.php:38-42 sanitized contextName(), allowing a PERM_WRITE caller using confirm:true to inject arbitrary Asterisk directives such as System(), Set(SHELL(...)), Goto, or Macro. This issue is fixed in version 1.6.2.