CVE-2026-73660
Təsvir
FreePBX açıq mənbəli IP PBX-dir. 16.0.6 və 17.0.5.4 versiyalarından əvvəl, FreePBX Text-To-Speech modulu autentifikasiya olunmuş administratora yaddaş üçün HTML-kodlaşdırılmış, zəng planının (dialplan) yaradılması zamanı dekodlaşdırılmış, AGI arqumenti kimi ötürülmüş və agi-bin/propolys-tts.agi daxilində fayl adlarını qurmaq üçün istifadə edilmiş TTS təyinat adını saxlamağa imkan verir. TTS təyinat adı birbaşa shell-əmri icra yoluna çatır ki, bu da asterisk xidmət istifadəçisi kimi ixtiyari əməliyyat sistemi əmrlərinin icrasına şərait yaradır. Bu problem 16.0.6 və 17.0.5.4 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FreePBX tts | < 16.0.6, >= 17.0.1, < 17.0.5.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.