PT-2025-50748 · Freepbx · Freepbx
Cold Z3Ro
·
Publicado
2025-12-11
·
Atualizado
2025-12-15
·
CVE-2024-58294
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
FreePBX versão 16
Descrição
A versão 16 do FreePBX contém uma vulnerabilidade de execução remota de código autenticada no módulo de API. Um invasor com credenciais de sessão válidas pode executar comandos arbitrários. A vulnerabilidade é explorável através do endpoint de API 'generatedocs' mediante o envio de solicitações POST manipuladas que injetam comandos bash, potencialmente resultando em acesso a shell remoto. O endpoint
generatedocs aceita solicitações POST com payloads maliciosos. O parâmetro vulnerável não é especificado explicitamente, mas o ataque envolve injeção de comandos bash.Recomendações
Aplique quaisquer atualizações ou patches disponíveis para a versão 16 do FreePBX.
Restrinja o acesso ao endpoint de API 'generatedocs'.
Como medida temporária, considere desabilitar o módulo de API até que um patch esteja disponível.
Exploit
Correção
RCE
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Freepbx