CVE-2026-116779

Nome do Software Vulnerável e Versões Afetadas FreeSWITCH versões anteriores a 1.11.3

Description Existe um problema onde uma mensagem SIP MESSAGE aceita (uma nota de texto enviada através do sistema telefônico) pode ser usada para executar comandos da API do FreeSWITCH, incluindo comandos do sistema operacional. Isso ocorre porque as configurações padrão mantêm o chat de entrada habilitado em ambos os perfis, e a Lista de Controle de Acesso (ACL) de entrada não cobre o método MESSAGE. A exploração desta falha foi observada em ambiente real.

Recommendations Atualize para a versão 1.11.3. Como mitigação temporária, defina <param name="enable-chat" value="false"/> em cada perfil que não necessite de chat de entrada. Defina disable system api commands=true para limitar o impacto. Remova usuários do diretório que não possuam senha ou a1-hash. Restrinja quais entidades têm permissão para enviar solicitações SIP MESSAGE.