CVE-2026-108161
Yüksək
Təsvir
FusionPBX 5.6.5 versiyadakı call_recordings::download() funksiyasında autentifikasiya olunmamış hücumçulara zərərli zəng edən ID dəyərləri ilə zənglər etməklə əmrlərin icrasına imkan verən ƏMƏLİYYAT SİSTEMİ əmr inyeksiyası boşluğu mövcuddur. record_name fayl adı şablonu aktiv olduqda, hücumçular Zəng Edən-ID adına və ya nömrəsinə $(...) kimi shell meta simvolları yerləşdirə bilərlər və imtiyazlı istifadəçi bir neçə yazını ZIP formatında yüklədikdə, əmrlər veb server istifadəçisi kimi icra edilir.
CiddilikYüksək
CVSS7.5
İstismar ehtimalı—
MəhsulFusionpbx
Dərc10 okt 2026
İlk görülmə10 okt 2026
Zəiflik növüCWE-78Əməliyyat sistemi əmr inyeksiyası
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fusionpbx fusionpbx | v ≤ 5.6.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.