CVE:CVE-2019-16966
CNNVD:CNNVD-201910-1273
FreePBX（前称Asterisk Management Portal）是FreePBX项目的一套通过GUI（基于网页的图形化接口）配置Asterisk（IP电话系统）的工具。Contactmanager是使用在其中的一个联系人管理组件。
FreePBX 14.0.10.3版本中的Contactmanager 13.0.45.3之前的13.x版本、14.0.5.12之前的14.x版本和15.0.8.21之前的15.x版本存在跨站脚本漏洞。该漏洞源于WEB应用缺少对客户端数据的正确验证。攻击者可利用该漏洞执行客户端代码。
solution:Upgrade freepbx contactmanager to a higher version than 13.0.45.3,14.0.5.12,15.0.8.21,13.0.0:beta1,13.0.0:beta2,13.0.0:beta3,13.0.0:beta4,13.0.0:beta5,14.0.1,14.0.1:alpha1,14.0.1:alpha2,14.0.1:beta1,14.0.1:beta2,14.0.1:beta3,and avoid the version [13.0.2,13.0.45.3),[14.0.1.1,14.0.5.12),[15.0.2,15.0.8.21),13.0.0:beta1,13.0.0:beta2,13.0.0:beta3,13.0.0:beta4,13.0.0:beta5,14.0.1,14.0.1:alpha1,14.0.1:alpha2,14.0.1:beta1,14.0.1:beta2,14.0.1:beta3; Upgrade sangoma freepbx to a higher version than 14.0.10.3,and avoid the version 14.0.10.3