ثغرات في مقاسم الهاتف Slican

CVE ID

CVE-2026-35088

تاريخ النشر

15 أكتوبر 2026

البائع

Slican

المنتج

IPx, CCT-1668, MAC-6400, CXS-0424

الإصدارات المعرضة للخطر

جميع الإصدارات قبل 6.62.0100 (IPx) جميع (CCT-1668, MAC-6400, CXS-0424)

نوع الثغرة (CWE)

قوة تشفير غير كافية (CWE-326)

مصدر التقرير

تقرير إلى CERT Polska

CVE ID

CVE-2026-63314

تاريخ النشر

15 أكتوبر 2026

البائع

Slican

المنتج

IPx

الإصدارات المعرضة للخطر

جميع الإصدارات قبل 6.62.0100

نوع الثغرة (CWE)

تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر SQL ('حقن SQL') (CWE-89)

مصدر التقرير

تقرير إلى CERT Polska

CVE ID

CVE-2026-63315

تاريخ النشر

15 أكتوبر 2026

البائع

Slican

المنتج

IPx

الإصدارات المعرضة للخطر

جميع الإصدارات قبل 6.62.0100

نوع الثغرة (CWE)

تخزين كلمة مرور نصية عادية (CWE-256)

مصدر التقرير

تقرير إلى CERT Polska

الوصف

تلقى CERT Polska تقريرًا عن ثغرات في مقاسم الهاتف Slican وشارك في تنسيق الكشف عنها.

الثغرة CVE-2026-35088: تستخدم مقاسم الهاتف Slican تشفيرًا متماثلًا لتواصل TCP/IP. المفتاح السري مدمج في عدة ملفات ثنائية. يمكن للمهاجم الذي لديه وصول إلى هذه الملفات فك تشفير الاتصال.

تم إصلاح هذه المشكلة في إصدار سلسلة IPx 6.62.0100.

لا تزال المشكلة موجودة في مقاسم الهاتف التي انتهت صلاحيتها:

CCT-1668 (CCT1CPU)

MAC-6400

CXS-0424

تم إيقاف هذه المنتجات في عامي 2011 و2012 ولن تتلقى تحديثات. تتطلب هذه المنتجات تحديثًا للأجهزة من أجل تلقي تحديث للبرمجيات. يوصي البائع بأن يتواصل مستخدمو هذه الأجهزة مع قسم الخدمة مباشرة لتحديد الخيارات المتاحة للتحديث.

الثغرة CVE-2026-63314: خدمة WebCTI لمقاسم الهاتف Slican IPx معرضة لحقن SQL في نقطة النهاية /webcti/admin_json.php. يسمح تحييد المدخلات غير الصحيح لمهاجم مصدق بتنفيذ هجمات حقن SQL.

تم إصلاح هذه المشكلة في إصدار سلسلة IPx 6.62.0100.

الثغرة CVE-2026-63315: تخزن خدمة WebCTI لمقاسم الهاتف Slican IPx كلمة مرور المشترك المؤقتة كنص عادي. يمكن لمهاجم لديه وصول إلى قاعدة البيانات الحصول على كلمة مرور المستخدم وتسجيل الدخول إلى حساب المشترك.

تم إصلاح هذه المشكلة في إصدار سلسلة IPx 6.62.0100.

الاعتمادات

نشكر Grupa ŻN على الإبلاغ عن الثغرة CVE-2026-35088.

نشكر داميán ستروجيك وأولها زوزوليا على الإبلاغ عن الثغرات CVE-2026-63314 و CVE-2026-63315.

يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسق عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.

الثغرات المرجعية

CVE-2026-63315 CVSS 8.2 HIGH Received

CVE-2026-63315 - Plaintext storage of a password in WebCTI

WebCTI service for Slican IPx telephone exchanges stores temporary subscriber password in plaintext. An attacker with access to the database can obtain the user's password and log in to the subscriber's account. This issue was fixed in IPx series version 6.62.0100.

CVE-2026-63314 CVSS 8.7 HIGH Received

CVE-2026-63314 - SQL Injection in WebCTI

WebCTI service for Slican IPx telephone exchanges is vulnerable to SQL Injection in /webcti/admin_json.php enpoint. Improper neutralization of input allows an authenticated attacker to execute SQL Injection attacks. This issue was fixed in IPx series version 6.62.0100.

CVE-2026-35088 CVSS 8.2 HIGH Received

CVE-2026-35088 - Inadequate Encryption Strength in Slican telephone exchanges

Slican telephone exchanges use symmetric encryption for TCP/IP communication. Secret key is hardcoded in multiple binary files. An attacker who has access to these files can decrypt the communication. This issue was fixed in IPx series version 6.62.0100. The issue STILL EXISTS in End-Of-Life telephone exchanges: - CCT-1668 (CCT1CPU) - MAC-6400 - CXS-0424 These products were discontinued in 2011 and 2012 and and will not receive updates. These products require a hardware update in order to receive a software update. The vendor recommends that users of these devices contact the their service department directly to determine the options for upgrading.

ثغرات في مقاسم الهاتف Slican

الثغرات المرجعية

المزيد من cert.pl