issabel-pbx 未认证目录列表漏洞利用公开

研究人员 Sahil Ojha 公开了 issabel-pbx 4.0.0-6 目录列表漏洞（CVE-2023-37599）的复现步骤：远程未认证攻击者无需凭据，用浏览器访问 https://<ISSABEL_IP>/modules/ 即可浏览该目录，并直接读取 PHP 源码、配置文件和内部逻辑。 该漏洞源于 Web 服务器在 /modules 路径错误启用了目录列表（Options Indexes），且目录中缺少 index.php 或 index.html 时，服务器会自动生成可浏览的目录页面。 公开说明给出的处置建议是：待厂商发布修复后，将 issabel-pbx 更新至已修补版本。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。