CVE-2025-34099
Açıklama
VICIdial versiyonları 2.9 RC1 ile 2.13 RC1 arasında, şifre şifreleme etkinleştirildiğinde (varsayılan olmayan bir yapılandırma), vicidial_sales_viewer.php bileşeni içerisinde kimlik doğrulaması gerektirmeyen bir komut enjeksiyonu zafiyeti bulunmaktadır. Uygulama, HTTP Basic Authentication şifresini yeterli temizleme işlemi yapmadan doğrudan exec() çağrısına aktarmaktadır. Bu durum, uzaktaki saldırganların web sunucusu kullanıcısı olarak keyfi işletim sistemi komutlarını enjekte etmesine ve çalıştırmasına olanak tanır. NOT: Bu zafiyet 2017 yılında hafifletilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| VICIdial Group VICIdial | 2.9 RC1 ≤ v ≤ 2.13 RC1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.