CVE-2026-73665
Açıklama
FreePBX açık kaynaklı bir IP PBX'tir. 17.0.9 sürümünden önce, 8001 ve 8003 portlarındaki UCP Node sunucusu node/lib/server.js içerisinde io.use(checkAuth) kullanmaktadır ancak Socket.IO versiyon 4 bu ara yazılımı yalnızca varsayılan ad alanına uygular. Kimliği doğrulanmamış bir istemci, node/lib/auth.js içerisinde checkAuth fonksiyonunu tutarlı bir şekilde çağırmayan özel ad alanlarına bağlanabilir ve node/lib/asterisk-manager-patch.js tarafından yamalanan Asterisk Manager Interface işlem yolu üzerinden satır başı veya yeni satır karakterleri içeren hazırlanmış olay değerleri göndererek asterisk servis kullanıcısı olarak rastgele komutların çalıştırılmasına neden olabilir. Bu sorun 17.0.9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- sangoma freepbx17.0.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sangoma freepbx | v < 17.0.9 | 17.0.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.