PT-2026-125101
CVE-2026-57196
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Asterisk الإصدارات السابقة لـ 20.20.1
Asterisk الإصدارات السابقة لـ 21.12.3
Asterisk الإصدارات السابقة لـ 22.10.1
Asterisk الإصدارات السابقة لـ 23.4.1
Certified Asterisk الإصدارات السابقة لـ 20.7-cert11
Certified Asterisk الإصدارات السابقة لـ 22.8-cert3
Description
يمكن لمهاجم غير مصرح له استخدام ثغرة cross-site scripting (XSS) المنعكسة في صفحات خطأ HTTP الخاصة بتزويد الهاتف لسرقة
AMI session cookie الخاص بمستخدم مصرح له وانتحال شخصيته. يحدث هذا عندما يكون موديل res phoneprov مفعلاً. يتطلب الاستغلال الناجح تفعيل خادم ويب HTTP الخاص بـ Asterisk، وواجهة مدير Asterisk (AMI)، والوصول إلى AMI عبر HTTP. بالإضافة إلى ذلك، يجب أن يكون المهاجم قادراً على الاتصال بخادم HTTP وإقناع مستخدم مصرح له بالنقر على رابط خبيث.Recommendations
التحديث إلى الإصدار 20.20.1
التحديث إلى الإصدار 21.12.3
التحديث إلى الإصدار 22.10.1
التحديث إلى الإصدار 23.4.1
التحديث إلى إصدار Certified Asterisk 20.7-cert11
التحديث إلى إصدار Certified Asterisk 22.8-cert3
كإجراء تخفيف مؤقت، قم بتعطيل موديل
res phoneprov أو تقييد الوصول إلى خادم HTTP. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾