漏洞信息
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
FreePBX api module Command Injection via GraphQL
Vulnerability Description
FreePBX api module version 17.0.8 and prior contain a command injection vulnerability in the initiateGqlAPIProcess() function where GraphQL mutation input fields are passed directly to shell_exec() without sanitization or escaping. An authenticated user with a valid bearer token can send a GraphQL moduleOperations mutation with backtick-wrapped commands in the module field to execute arbitrary commands on the underlying host as the web server user.
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Vulnerability Type
OS命令中使用的特殊元素转义处理不恰当(OS命令注入)
Vulnerability Title
FreePBX api 操作系统命令注入漏洞
Vulnerability Description
FreePBX api是FreePBX开源的一个插件。 FreePBX api module 17.0.8及之前版本存在操作系统命令注入漏洞，该漏洞源于initiateGqlAPIProcess函数中GraphQL mutation输入字段未经清理或转义直接传递给shell_exec，可能导致具有有效承载令牌的认证用户执行任意命令。
CVSS Information
N/A
Vulnerability Type
N/A