CVE-2026-44239
Publiée le 2026-05-29 · Dernière modification le 2026-07-21
Les installations de FreePBX (versions antérieures à 16.0.22 et 17.0.5) sont affectées par une faille de traversée de chemin (path traversal) dans le module Dashboard. Un attaquant disposant d'identifiants valides avec des privilèges restreints peut envoyer une requête réseau spécialement conçue pour exécuter des fichiers PHP arbitraires se terminant par `.class.php` sur votre serveur. Cette opération est relativement simple à réaliser une fois authentifié et peut conduire à une compromission complète du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
FreePBX is an open source IP PBX. Prior to 16.0.22 and 17.0.5, the Dashboard module's getcontent AJAX handler includes PHP files based on user-supplied input without path sanitization. The $_REQUEST['rawname'] parameter is concatenated into an include() call with a .class.php suffix, allowing path traversal via ../ sequences to include arbitrary .class.php files from the filesystem. The included file's PHP code executes before the subsequent class instantiation error occurs. This vulnerability is fixed in 16.0.22 and 17.0.5.