CVE-2026-72529
Prioriza la corrección. Ella está bajo explotación confirmada por CISA.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Un atacante en la red puede ejecutar código malicioso en servidores TrueConf vulnerables llamando a una función oculta que carece de controles de acceso adecuados. Esto permite el compromiso total del sistema afectado.
CWE-306 (Autenticación Ausente) permite ejecución remota de código no autenticada mediante una función de API no documentada accesible en el puerto 4307/TCP. Las versiones afectadas de 5.3.X a 5.5.5 carecen de validación de entrada y aplicación de autenticación, permitiendo ejecución de scripts arbitrarios con solo acceso a la red como precondición.