CVE-2026-72529
Priorize a correção. Ela está sob exploração confirmada pelo CISA.
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Um invasor na rede pode executar código malicioso em servidores TrueConf vulneráveis chamando uma função oculta que não possui controles de acesso apropriados. Isso permite o comprometimento total do sistema afetado.
CWE-306 (Autenticação Ausente) permite execução remota de código não autenticada por meio de uma função de API não documentada acessível na porta 4307/TCP. Versões afetadas de 5.3.X a 5.5.5 carecem de validação de entrada e aplicação de autenticação, permitindo execução de scripts arbitrários com apenas acesso à rede como pré-condição.