🛡️ CVE-2025-57819 – Inyección SQL no autenticada a RCE en FreePBX (PoC)

Este repositorio contiene dos scripts de Prueba de Concepto (PoC) en Python dirigidos a CVE-2025-57819, una vulnerabilidad crítica de inyección SQL no autenticada en FreePBX.

🧠 Acerca de la vulnerabilidad (CVE-2025-57819)

CVE-2025-57819 afecta a múltiples versiones de FreePBX y permite a atacantes remotos no autenticados ejecutar consultas SQL arbitrarias a través de un parámetro vulnerable en admin/ajax.php.

La falla existe debido a una sanitización insuficiente de las entradas en el endpoint module=FreePBX\modules\endpoint\ajax, lo que permite la inyección SQL directa en consultas del backend.

📊 Detalles del CVE

• CVE ID: CVE-2025-57819
• Tipo: Inyección SQL (No autenticada)
• Vector de ataque: Remoto
• Impacto: Creación de cuentas de administrador, extracción de credenciales, posible RCE
• Puntuación CVSS v3: 9.8 (Crítico)

🎯 Versiones afectadas

📁 Estructura del repositorio

⚙️ Uso

1️⃣ poc_admin.py – Añadir usuario administrador

Este script envía una consulta SQL especialmente manipulada para crear un nuevo usuario administrador de FreePBX.

✅ Requisitos

• Python 3
• módulo requests (pip install requests)

▶️ Uso

python3 poc_admin.py http://target/

💡 Ejemplo de salida

[+] Creating admin user: orange0Mint_k9l3zq / X9sfL30wlKp1
[+] Done. Try logging in at: http://target/admin/config.php
[+] Credentials -> Username: orange0Mint_k9l3zq | Password: X9sfL30wlKp1

2️⃣ poc_auto_get_username_pass.py – Volcar credenciales con SQLMap

Este script utiliza sqlmap para extraer nombres de usuario y hashes de contraseñas de la tabla vulnerable ampusers en múltiples objetivos.

✅ Requisitos

• Python 3.x
• sqlmap clonado localmente como sqlmap-master/
• Archivo que contenga una lista de URL objetivo

📂 Formato del archivo de objetivos

Cada línea del archivo debe ser una URL base:

http://192.168.1.100/
http://pbx.example.com:8080/

▶️ Uso

python3 poc_auto_get_username_pass.py targets.txt

💡 Características

• Registra la salida de cada objetivo en log/target.txt
• Espera automáticamente ante:
  • Desconexión de Internet
  • Presencia del archivo stop.txt
• Utiliza las opciones --batch y --ignore-code=404 en SQLMap

📦 Salida

Todos los resultados de sqlmap se guardarán dentro del directorio log/, con el nombre del host objetivo:

log/
 ├── 192.168.1.100.txt
 ├── pbx.example.com_8080.txt

🔐 Mitigación

• Actualice a las versiones parcheadas de FreePBX:
  • 15.0.66+
  • 16.0.89+
  • 17.0.3+
• Restrinja el acceso a la interfaz /admin/
• Utilice cortafuegos de aplicaciones web (WAF)
• Supervise el acceso a ajax.php

⚠️ Descargo de responsabilidad

Este PoC se proporciona únicamente con fines de pruebas de penetración educativas y autorizadas.
No utilice este código contra sistemas que no le pertenezcan o para los que no tenga permiso explícito de prueba.
El autor no es responsable del mal uso o de los daños causados por este script.

👨‍💻 Autor

orange0Mint
GitHub: https://github.com/orange0Mint

🧩 Referencias

• Sitio oficial de FreePBX
• GitHub de sqlmap
• CVE-2025-57819 en NVD