PT-2025-36096 · Freepbx · Freepbx Contactmanager Module

J0Eblow · Publicado 2025-09-04 · Atualizado 2025-09-05 · CVE-2025-55209

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:L/SC:L/SI:L/SA:L

Nome do Software Vulnerável e Versões Afetadas Módulo contactmanager do FreePBX versões 15.0.14 e inferiores Módulo contactmanager do FreePBX versões 16.0.0 a 16.0.26 Módulo contactmanager do FreePBX versões 17.0.0 a 17.0.5

Descrição O módulo contactmanager do FreePBX contém uma vulnerabilidade de cross-site scripting (XSS) armazenado. Um usuário do Painel de Controle do Usuário (UCP) com baixos privilégios pode injetar JavaScript malicioso no sistema. O código malicioso executa no contexto de um administrador quando este interage com o componente afetado, potencialmente levando ao sequestro de sessão e escalonamento de privilégios.

Recomendações Módulo contactmanager do FreePBX versão 15.0.15 ou posterior Módulo contactmanager do FreePBX versão 16.0.27 ou posterior Módulo contactmanager do FreePBX versão 17.0.6 ou posterior

Exploit

Correção

LPE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2025-55209

GHSA-J654-X3Q2-6WM3

Produtos afetados

Freepbx Contactmanager Module

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/55xxx/CVE-2025-55209.json · Exploit
• https://github.com/FreePBX/contactmanager/commit/55abba0f1ab5d66ba87732fd06179231d1f68184 · Nota
• https://github.com/FreePBX/security-reporting/security/advisories/GHSA-j654-x3q2-6wm3 · Nota
• https://t.me/cveNotify/134331 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1963791910620795217 · Publicação no Twitter
• https://t.me/CVEtracker/31740 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-55209 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1963827269719499219 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-55209 · Nota de Segurança