جزئیات آسیب‌پذیری
CVE-2025-34099
VICIdial Group VICIdial
VICIdial vicidial_sales_viewer.php Unauthenticated Command Injection via Basic Auth Password
CVSS 4.0
9.3بحرانی
شرح رسمی (انگلیسی)
An unauthenticated command injection vulnerability exists in VICIdial versions 2.9 RC1 through 2.13 RC1, within the vicidial_sales_viewer.php component when password encryption is enabled (a non-default configuration). The application improperly passes the HTTP Basic Authentication password directly to a call to exec() without adequate sanitation. This allows remote attackers to inject and execute arbitrary operating system commands as the web server user. NOTE: This vulnerability was mitigated in 2017.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.3بحرانی | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| VICIdial Group | VICIdial | 2.9 RC1 ≤ v ≤ 2.13 RC1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۴- https://raw.githubusercontent.com/rapid7/metasploit-framework/master/modules/exploits/unix/webapp/vicidial_user_authorization_unauth_cmd_exec.rb exploit
- https://vulncheck.com/advisories/vicidial-unauth-command-injection third-party-advisory
- https://www.exploit-db.com/exploits/42370 exploit
- https://www.vicidial.org/VICIDIALmantis/view.php?id=1016
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۴/۱۹
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۲/۲۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۱٫۶۴٪
احتمال بهره‌برداری در ۳۰ روز
۷۶٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
- CWE-20Improper Input Validation