CVE-2026-54708

FreePBX przed wersją 17.0.9 ma podatność w serwerze UCP Node na portach 8001 i 8003, gdzie middleware checkAuth jest stosowane tylko do domyślnej przestrzeni nazw Socket.IO. Nieuwierzytelniony klient może połączyć się z niestandardowymi przestrzeniami nazw i wysyłać spreparowane wartości zdarzeń z CR/LF, co pozwala na wykonanie dowolnych poleceń jako użytkownik usługi asterisk.

FreePBX od wersji 16.0.0 do 16.0.11 i 17.0.4 ma podatność w module missedcall, gdzie nazwa dzwoniącego z nagłówka SIP From jest wstawiana do zapytania SQL bez odpowiedniego escapowania. Nieuwierzytelniony dzwoniący może wstrzyknąć SQL, gdy monitorowane rozszerzenie pozostaje nieodebrane, co pozwala na modyfikację kont administratora i uzyskanie zdalnego dostępu.

Podatność w FreePBX od wersji 15.0.42 do 16.0.45 i 17.0.7 umożliwia nieuwierzytelnionym użytkownikom dostęp do Panelu Kontroli Użytkownika (UCP) przy użyciu domyślnych, zakodowanych na stałe poświadczeń szablonu, jeśli administrator nie zmienił ich natychmiast po włączeniu UCP. Problem został naprawiony w wersjach 16.0.45 i 17.0.7.

FreePBX to open source IP PBX. Przed wersją 17.0.9 uwierzytelnieni użytkownicy, którzy mają dostęp do interfejsu modułu GraphQL api, mogą wykonywać dowolne polecenia powłoki. Wymagany jest uwierzytelniony dostęp do modułu api. Generator dokumentacji modułu PBX API przyjmuje uwierzytelniony parametr host i używa go do budowy polecenia powłoki. Ścieżka kodu weryfikuje wygenerowany token OAuth przed wykonaniem, ale nie weryfikuje ani nie escapuje hosta. Kompromitacja skutkuje uwierzytelnionym wykonaniem dowolnych poleceń powłoki jako użytkownik usługi web/PBX (zazwyczaj asterisk). Problem został naprawiony w wersji 17.0.9.

FreePBX to open source IP PBX. Przed wersjami 16.0.40 i 17.0.7 istnieje krytyczna podatność na zdalne wykonanie kodu (RCE) w module superfecta z powodu niebezpiecznego dołączania dowolnych plików PHP, co pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP na serwerze z uprawnieniami użytkownika serwera WWW. Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Podatność jest zakorzeniona w przypadkach options i save_options w module AJAX Superfecta. Kod dynamicznie dołącza pliki PHP z katalogu sources/ na podstawie danych dostarczonych przez użytkownika. Pozwala to atakującemu na wykonanie dowolnego kodu w połączeniu z tworzeniem dowolnych katalogów (np. przez moduł backup) i przesyłaniem plików ujawniających pełne ścieżki (np. przez moduł soundlang). Problem został naprawiony w wersjach 16.0.40 i 17.0.7.

FreePBX przed wersjami 16.0.10 i 17.0.5 zawiera krytyczną podatność w funkcji przesyłania i konwersji plików dźwiękowych, która pozwala uwierzytelnionemu atakującemu na zapis dowolnych plików, prowadzący do zdalnego wykonania kodu (RCE). Wymagane jest uwierzytelnienie ze znaną nazwą użytkownika. Problem wynika z niedostatecznej sanityzacji ścieżek w procesie konwersji plików, umożliwiając ataki typu path traversal i umieszczenie złośliwych plików PHP w katalogu głównym serwera WWW.

FreePBX przed wersjami 16.0.39 i 17.0.7 pozwala użytkownikom uwierzytelnionym przez Panel Kontroli Użytkownika (UCP) na wykonywanie dowolnych poleceń na PBX jako użytkownik serwera WWW (zazwyczaj asterisk) przy użyciu specjalnie spreparowanych ciągów HTTP. Wymagany jest dostęp do UCP. Problem wynika z niedostatecznej sanityzacji niektórych parametrów URL używanych przez UCP, co pozwala na wykonanie binariów na serwerze poprzez staranne łączenie poleceń.

FreePBX przed wersjami 16.0.4 i 17.0.6 zawiera krytyczną wadę w module Music on Hold (MoH), która pozwala uwierzytelnionym atakującym na wykonywanie dowolnych poleceń systemowych z uprawnieniami usługi Asterisk. Wymagane jest konto administratora FreePBX. Przyczyną jest przyjmowanie parametru POST definiującego niestandardową aplikację Asterisk, która jest przechowywana w bazie danych bez sanityzacji, a następnie zapisywana bezpośrednio do pliku konfiguracyjnego musiconhold_additional.conf, co pozwala na wstrzyknięcie dowolnych poleceń.

FreePBX od wersji 17.0.5.34 do 17.0.11 ma podatność w punkcie końcowym AJAX publicKeySave w Backup.class.php, który akceptuje klucz SSH administratora i dodaje go do authorized_keys bez wiarygodnego egzekwowania ograniczeń. Klucz daje trwały dostęp do powłoki z możliwością wykonywania dowolnych komend, dostępu do danych FreePBX i połączeń, modyfikacji plików systemowych i zakłócania usług.

FreePBX od wersji 17.0.1 do 17.0.7 ma podatność w module Music on Hold, która pozwala na niebezpieczne opcje wiersza poleceń dla /usr/bin/mpg123 i innych dozwolonych odtwarzaczy. Administrator może użyć opcji zapisujących pliki, otwierających kanały kontrolne lub tworzących pliki połączeń Asterisk, co prowadzi do wykonania dowolnych komend jako użytkownik asterisk.