PT-2026-33931 · Freepbx · Freepbx

Publicado 2026-04-21 · Atualizado 2026-04-21 · CVE-2026-40520

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions FreePBX api module versões anteriores a 17.0.9

Description Existe um problema na função initiateGqlAPIProcess() onde os campos de entrada de mutação GraphQL são passados diretamente para shell exec() sem sanitização ou escape. Um usuário autenticado com um token bearer válido pode enviar uma mutação GraphQL moduleOperations contendo comandos envoltos em crases no campo module para executar comandos arbitrários no host subjacente como o usuário do servidor web.

Recommendations Atualize para uma versão posterior a 17.0.8. Como medida paliativa temporária, restrinja o acesso à função initiateGqlAPIProcess() ou à mutação GraphQL moduleOperations.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-40520

Produtos afetados

Freepbx

Referências · 6

• https://github.com/FreePBX/api/commit/5f194e39a47e5481e8947f9694304d32724175f6 · Correção
• https://github.com/FreePBX/api/blob/5f194e39a47e5481e8947f9694304d32724175f6/ApiGqlHelper.class.php#L34C1-L36C136 · Nota
• https://github.com/FreePBX/api/blob/5f194e39a47e5481e8947f9694304d32724175f6/Api.class.php#L546C1-L554C3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40520 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2046681972051722455 · Publicação no Twitter
• https://vulncheck.com/advisories/freepbx-api-module-command-injection-via-graphql · Nota