PT-2026-71883
CVE-2026-73662
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FreePBX من 17.0.1 إلى 17.0.6
الوصف
تسمح وحدة «Music on Hold» (موسيقى الانتظار) باستخدام خيارات خط أوامر خطيرة لـ
/usr/bin/mpg123 ومشغلات أخرى مسموح بها ضمن الدالة validateCustomConfiguration() في ملف Music.class.php. ونظرًا لأن الدالة applicationUsesDisallowedPlayerOption() تفشل في رفض هذه الوسيطات، يمكن للمسؤول المصادق عليه استخدام الخيارات لكتابة الملفات أو فتح قنوات التحكم أو إنشاء ملفات مكالمات Asterisk، مما يؤدي إلى تنفيذ أوامر تعسفية بصفته مستخدم خدمة Asterisk.التوصيات
قم بالتحديث إلى الإصدار 17.0.7.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول الإداري إلى تكوين وحدة «Music on Hold».
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾