CVE-2022-34878

VICIdial (versões afetadas não especificadas)

A vulnerabilidade permite que um invasor falsifique identidades, altere dados existentes, divulgue todos os dados do sistema, destrua os dados ou os torne indisponíveis e assuma o controle do servidor de banco de dados por meio de uma vulnerabilidade de injeção de SQL na interface de estatísticas do usuário. A vulnerabilidade é explorada através do parâmetro file download no endpoint da API /vicidial/user stats.php.

Como solução temporária, considere desativar o endpoint da API /vicidial/user stats.php até que uma correção esteja disponível. Restrinja o acesso ao parâmetro file download na interface de Estatísticas do Usuário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.