PT-2025-47479
CVE-2025-34330
·
Publicado
2025-11-19
·
Atualizado
2025-11-19
Descrição por
CVSS 4.0
6.9
MédiaMétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas
Dispositivos AudioCodes Fax Server e Auto-Attendant IVR, versões até e incluindo a 2.6.23
Descrição
O componente de administração web (F2MAdmin) inclui um endpoint de upload de prompt não autenticado em
/AudioCodes files/utils/IVR/diagram/ajaxPromptUploadFile.php. Este script aceita arquivos carregados e os escreve no diretório C:F2MAdmintmp utilizando um nome de arquivo derivado de constantes da aplicação, sem autenticação, autorização ou validação de tipo de arquivo. Um atacante remoto não autenticado pode carregar ou sobrescrever arquivos relacionados a prompts ou música de espera, potencialmente adulterando o conteúdo de áudio do IVR ou preparando arquivos para ataques subsequentes.Recomendações
Versões anteriores à 2.6.23 devem ser atualizadas.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾