Podatności Telenia Software TVox
3 znanych podatności CVE w Telenia Software TVox, przetłumaczonych i ocenionych.
- CVE-2026-67609Wysokie
W oprogramowaniu Telenia Software TVox w wersjach 26.5.3 i starszych 26.x oraz 24.9.21 i starszych 24.x wykryto podatność eskalacji uprawnień. Niebezpieczna konfiguracja sudoers w pliku /etc/sudoers.d/telenia pozwala użytkownikowi apache na wykonanie komendy /bin/nice bez hasła, co może być wykorzystane do wykonania dowolnych poleceń jako root.
- CVE-2026-67608Wysokie
Telenia Software TVox w wersjach 26.5.3 i starszych 26.x oraz 24.9.21 i starszych 24.x zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego w pliku action_audio.php. Uwierzytelnieni atakujący mogą wykonać dowolne polecenia systemowe, przekazując niesanitizowany parametr pid do wywołania exec(), gdy parametr action jest ustawiony na checkProcess. Atakujący mogą wstrzykiwać złośliwe polecenia przez parametr pid, aby wykonać dowolne polecenia z uprawnieniami użytkownika apache.
- CVE-2026-64827Krytyczne
Telenia Software TVox w wersjach 26.5.3 i wcześniejszych 26.x oraz 24.9.21 i wcześniejszych 24.x zawiera lukę ominięcia uwierzytelniania w pliku set_env.php, gdzie funkcja redirectToLoginAdminIRequestHaveAccessToken() pobiera bieżącą nazwę strony z PHP_SELF i pomija uwierzytelnianie, gdy wartość pasuje do 'login_admin.php'. Atakujący mogą dodać '/login_admin.php' do ścieżki dowolnego docelowego skryptu PHP, aby spowodować przejście kontroli uwierzytelniania i uzyskać nieuwierzytelniony dostęp do wszystkich skryptów PHP w katalogu manager HTML.