CVE-2026-46512

Nome do Software Vulnerável e Versões Afetadas Frogman versões anteriores a 1.6.2

Description O Frogman fornece controle de PBX headless através de MCP e API HTTP. A função fm dialplan apply aceita parâmetros de template, incluindo greeting, dest, url, extension, code e file. Como o Tools/DialplanApply.php grava a saída do Dialplan/Templates.php no arquivo extensions custom.conf e apenas o Dialplan/TemplateBase.php sanitiza o contextName(), um chamador com permissões PERM WRITE utilizando confirm:true pode injetar diretivas arbitrárias do Asterisk, como System(), Set(SHELL(...)), Goto ou Macro.

Recommendations Atualizar para a versão 1.6.2.