PT-2026-60548
CVE-2026-46515
·
Publicado
2026-07-16
·
Atualizado
2026-10-24
Descrição por
CVSS 4.0
9.3
CríticaMétricasAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Nome do Software Vulnerável e Versões Afetadas
Frogman versões anteriores a 1.6.3
Description
O Frogman fornece controle de PBX headless através de MCP e API HTTP. Usuários com acesso PERM READ podem chamar diversas funções, incluindo
fm list managers(), fm list pinsets(), fm show context(), fm get mcp config(), fm backup status(), fm whos calling(), fm run saved query() e fm diagnose trunk(). Isso leva à exposição de segredos do gerenciador AMI, PINs de discagem externa, contexto completo do plano de discagem do Asterisk, comandos de conexão SSH root, caminhos de artefatos de backup e histórico de CDR. Além disso, permite a execução de consultas GraphQL salvas arbitrárias e dumps de endpoints AMI brutos contendo campos SIP, como password, md5 cred e oauth secret.Recommendations
Atualizar para a versão 1.6.3.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾