CVE-2026-46514
Açıklama
Frogman, MCP ve HTTP API aracılığıyla headless PBX kontrolü sağlar. 1.6.2 sürümünden önce, Tools/ResetPassword.php:48-53 konumundaki fm_reset_password fonksiyonu düz metin bir şifre döndürüyordu ve Tools/AddExtension.php:172 konumundaki fm_add_extension fonksiyonu düz metin bir gizli anahtar (secret) döndürüyordu; Frogman.class.php:2207-2211 ise bu yanıtları auditOutcome kullanarak JSON formatında oc_audit_log.detail içerisine kaydediyordu. Bu durum, fm_audit_search erişimine sahip herhangi bir PERM_READ çağırıcısının saklanan kimlik bilgilerini geri almasına olanak tanıyordu. Bu sorun 1.6.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mwtcmi frogman | < 1.6.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.