CVE-2025-61678

Failles dans FreePBX Endpoint Manager : Exécution de code à distance possible

Une vulnérabilité critique a été identifiée dans le module Endpoint Manager de FreePBX, portant le numéro CVE-2025-61678. Cette faille, présente dans les versions antérieures à 16.0.92 pour FreePBX 16 et avant 17.0.6 pour FreePBX 17, permet à un utilisateur authentifié d’uploader des fichiers arbitraires sur le serveur.

Points clés :

• Type de vulnérabilité : Upload de fichier arbitraire (authentifié).
• Localisation de la faille : Paramètre fwbrand du module Endpoint Manager.
• Conséquences : Potentiel d’upload de webshell menant à une exécution de code à distance.
• Condition requise : Authentification avec un nom d’utilisateur connu.

Vulnérabilités identifiées :

• CVE-2025-61678 : Upload de fichier arbitraire permettant potentiellement une exécution de code à distance.

Recommandations :

• Mettre à jour FreePBX vers la version 16.0.92 ou ultérieure pour FreePBX 16.
• Mettre à jour FreePBX vers la version 17.0.6 ou ultérieure pour FreePBX 17.

Source