CVE-2026-46512
Təsvir
Frogman MCP və HTTP API vasitəsilə headless PBX idarəetməsini təmin edir. 1.6.2 versiyasından əvvəl fm_dialplan_apply greeting, dest, url, extension, code və file kimi şablon parametrlərini qəbul edirdi və Tools/DialplanApply.php Dialplan/Templates.php çıxışını extensions_custom.conf faylına yazırdı, halbuki yalnız Dialplan/TemplateBase.php:38-42 contextName() funksiyasını təmizləyirdi ki, bu da confirm:true istifadə edən PERM_WRITE çağırıcısına System(), Set(SHELL(...)), Goto və ya Macro kimi ixtiyari Asterisk direktivlərini yeritməyə imkan verirdi. Bu problem 1.6.2 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mwtcmi frogman | < 1.6.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.