一、 漏洞 CVE-2025-34099 基础信息
漏洞信息
                                        # VICIdial 中的 vicidial_sales_viewer.php 存在未授权命令注入漏洞 .getSystemService()

## 漏洞概述
VICIdial 版本 2.9 RC1 至 2.13 RC1 中存在一个未认证的命令注入漏洞，该漏洞出现在 vicidial_sales_viewer.php 组件中，当启用密码加密（非默认配置）时，应用会将 HTTP Basic Authentication 密码直接传递给 exec() 调用，而没有进行充分的验证，从而导致远程攻击者注入并执行任意操作系统命令。

## 影响版本
- VICIdial 2.9 RC1 至 2.13 RC1

## 漏洞细节
应用在启用密码加密的情况下，将从 HTTP Basic Authentication 收到的密码未经适当验证直接传递给 exec() 函数，允许远程攻击者注入并执行任意操作系统命令。

## 漏洞影响
该漏洞使得攻击者能够在未认证的情况下，通过 vicidial_sales_viewer.php 组件注入并执行任意操作系统命令，命令将以 web 服务器用户的权限运行，从而可能造成严重的安全风险。
提示
尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！
漏洞标题
VICIdial vicidial_sales_viewer.php Unauthenticated Command Injection via Basic Auth Password
来源：美国国家漏洞数据库 NVD
漏洞描述信息
An unauthenticated command injection vulnerability exists in VICIdial versions 2.9 RC1 through 2.13 RC1, within the vicidial_sales_viewer.php component when password encryption is enabled (a non-default configuration). The application improperly passes the HTTP Basic Authentication password directly to a call to exec() without adequate sanitation. This allows remote attackers to inject and execute arbitrary operating system commands as the web server user.
来源：美国国家漏洞数据库 NVD
CVSS信息
N/A
来源：美国国家漏洞数据库 NVD
漏洞类别
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
VICIdial 安全漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
VICIdial是VICIdial公司的一个软件套件。旨在与 Asterisk 开源 Pbx 电话系统交互，作为一个完整的呼入/呼出联络中心套件，同时支持呼入电子邮件。 VICIdial 2.9 RC1至2.13 RC1版本存在安全漏洞，该漏洞源于vicidial_sales_viewer.php组件中的命令注入问题，可能导致远程代码执行。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
其他
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2025-34099 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2025-34099 的情报信息