PT-2025-35106 · Freepbx · Freepbx
Matthewljensen
·
Publicado
2025-08-28
·
Atualizado
2026-06-13
·
CVE-2025-57819
CVSS v4.0
10
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
Nome do Software Vulnerável e Versões Afetadas
FreePBX versões anteriores a 15.0.66
FreePBX versões anteriores a 16.0.89
FreePBX versões anteriores a 17.0.3
Description
FreePBX é uma interface gráfica baseada na web de código aberto. Existe um problema crítico no módulo "endpoint" onde dados fornecidos pelo usuário insuficientemente sanitizados permitem que invasores não autenticados ignorem os controles de autenticação. Esta falha permite que um invasor realize a injeção de SQL, que é uma técnica usada para manipular consultas de banco de dados, levando à manipulação arbitrária do banco de dados e à execução remota de código com privilégios de nível SYSTEM. Há relatos de que este problema está sendo explorado ativamente.
Recommendations
Atualizar para a versão 15.0.66 para FreePBX 15.
Atualizar para a versão 16.0.89 para FreePBX 16.
Atualizar para a versão 17.0.3 para FreePBX 17.
Como medida paliativa temporária, restrinja o acesso ao módulo "endpoint" para minimizar o risco de exploração.
Exploit
Correção
RCE
Authentication Bypass Using an Alternate Path or Channel
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Freepbx