آسیب‌پذیری‌ها در مراکز تلفن Slican
CVE ID
CVE-2026-35088
تاریخ انتشار
15 اکتبر 2026
فروشنده
Slican
محصول
IPx, CCT-1668, MAC-6400, CXS-0424
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 6.62.0100 (IPx) تمامی نسخه‌ها (CCT-1668, MAC-6400, CXS-0424)
نوع آسیب‌پذیری (CWE)
قدرت رمزنگاری ناکافی (CWE-326)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-63314
تاریخ انتشار
15 اکتبر 2026
فروشنده
Slican
محصول
IPx
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 6.62.0100
نوع آسیب‌پذیری (CWE)
خنثی‌سازی نادرست عناصر خاص استفاده شده در یک فرمان SQL ('SQL Injection') (CWE-89)
منبع گزارش
گزارش به CERT Polska
CVE ID
CVE-2026-63315
تاریخ انتشار
15 اکتبر 2026
فروشنده
Slican
محصول
IPx
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها قبل از 6.62.0100
نوع آسیب‌پذیری (CWE)
ذخیره‌سازی متن‌خوانا یک رمز عبور (CWE-256)
منبع گزارش
گزارش به CERT Polska
توضیحات
CERT Polska گزارشی درباره آسیب‌پذیری‌ها در مراکز تلفن Slican دریافت کرده و در هماهنگی افشای آن‌ها شرکت کرده است.
آسیب‌پذیری CVE-2026-35088: مراکز تلفن Slican از رمزنگاری متقارن برای ارتباطات TCP/IP استفاده می‌کنند. کلید مخفی در چندین فایل باینری سخت‌کد شده است. یک مهاجم که به این فایل‌ها دسترسی دارد می‌تواند ارتباطات را رمزگشایی کند.
این مشکل در نسخه 6.62.0100 سری IPx برطرف شد.
این مشکل هنوز در مراکز تلفن End-Of-Life وجود دارد:
CCT-1668 (CCT1CPU)
MAC-6400
CXS-0424
این محصولات در سال‌های 2011 و 2012 متوقف شدند و به‌روزرسانی نخواهند شد. این محصولات برای دریافت به‌روزرسانی نرم‌افزاری نیاز به به‌روزرسانی سخت‌افزاری دارند. فروشنده توصیه می‌کند که کاربران این دستگاه‌ها به‌طور مستقیم با بخش خدمات خود تماس بگیرند تا گزینه‌های ارتقا را تعیین کنند.
آسیب‌پذیری CVE-2026-63314: سرویس WebCTI برای مراکز تلفن Slican IPx در نقطه /webcti/admin_json.php به SQL Injection آسیب‌پذیر است. خنثی‌سازی نادرست ورودی به یک مهاجم معتبر اجازه می‌دهد تا حملات SQL Injection را اجرا کند.
این مشکل در نسخه 6.62.0100 سری IPx برطرف شد.
آسیب‌پذیری CVE-2026-63315: سرویس WebCTI برای مراکز تلفن Slican IPx رمز عبور موقت مشترک را به صورت متن‌خوانا ذخیره می‌کند. یک مهاجم با دسترسی به پایگاه داده می‌تواند رمز عبور کاربر را به دست آورد و وارد حساب مشترک شود.
این مشکل در نسخه 6.62.0100 سری IPx برطرف شد.
اعتبارات
ما از Grupa ŻN برای گزارش آسیب‌پذیری CVE-2026-35088 تشکر می‌کنیم.
ما از Damian Strojek و Olha Zozulia برای گزارش آسیب‌پذیری‌های CVE-2026-63314 و CVE-2026-63315 تشکر می‌کنیم.
اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.