CVE-2024-58294

Nome do Software Vulnerável e Versões Afetadas FreePBX versão 16

Descrição A versão 16 do FreePBX contém uma vulnerabilidade de execução remota de código autenticada no módulo de API. Um invasor com credenciais de sessão válidas pode executar comandos arbitrários. A vulnerabilidade é explorável através do endpoint de API 'generatedocs' mediante o envio de solicitações POST manipuladas que injetam comandos bash, potencialmente resultando em acesso a shell remoto. O endpoint generatedocs aceita solicitações POST com payloads maliciosos. O parâmetro vulnerável não é especificado explicitamente, mas o ataque envolve injeção de comandos bash.

Recomendações Aplique quaisquer atualizações ou patches disponíveis para a versão 16 do FreePBX. Restrinja o acesso ao endpoint de API 'generatedocs'. Como medida temporária, considere desabilitar o módulo de API até que um patch esteja disponível.