چندین آسیب‌پذیری امنیتی در پلتفرم متن‌باز مرکز تلفن خصوصی (PBX) به نام FreePBX افشا شد که شامل یک نقص بحرانی است که می‌تواند منجر به دور زدن احراز هویت در برخی پیکربندی‌ها شود. این آسیب‌پذیری‌ها که توسط Horizon3.ai کشف و در ۱۵ سپتامبر ۲۰۲۵ گزارش شدند، شامل CVE-2025-66039 با امتیاز ۹.۳ است که امکان ورود به پنل مدیریت از طریق هدر Authorization جعلی را فراهم می‌کند، CVE-2025-61675 با امتیاز ۸.۶ که شامل آسیب‌پذیری‌های تزریق SQL در چهار نقطه پایانی است، و CVE-2025-61678 با امتیاز ۸.۶ که اجازه بارگذاری فایل دلخواه و اجرای دستورات را می‌دهد. محقق امنیتی نوآ کینگ اعلام کرد این آسیب‌پذیری‌ها به راحتی قابل بهره‌برداری هستند و به مهاجمان امکان اجرای کد از راه دور را می‌دهند.
این مشکلات در نسخه‌های ۱۶.۰.۹۲ و ۱۷.۰.۶ (اکتبر ۲۰۲۵) و ۱۶.۰.۴۴ و ۱۷.۰.۲۳ (دسامبر ۲۰۲۵) برطرف شده‌اند. FreePBX توصیه کرده است کاربران “نوع احراز هویت” را روی “usermanager” تنظیم کنند و از استفاده از “webserver” که کد قدیمی به نظر می‌رسد خودداری کنند. شایان ذکر است که آسیب‌پذیری دور زدن احراز هویت در پیکربندی پیش‌فرض FreePBX وجود ندارد و تنها زمانی فعال می‌شود که تنظیمات خاصی در Advanced Settings فعال شوند.
کلمات کلیدی : آسیب‌پذیری امنیتی, FreePBX, دور زدن احراز هویت, تزریق SQL, اجرای کد از راه دور, PBX
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.