CVE-2026-73663 in FreePBX
الملخص
بحسب VulDB • 13/08/2026
FreePBX هو نظام هاتف IP مفتوح المصدر. من الإصدار 16.0.0 حتى 16.0.11 ومن الإصدار 17.0.4، يضع وحدة missedcall في FreePBX اسم معرف المتصل الوارد (Caller ID) المستمد من عناوين SIP From المُعدّة بشكل خبيث داخل عملية INSERT الخاصة بسجل المكالمات الضائعة (missedcalllog) في الملف agi-bin/missedcallnotify.php دون استخدام الهروب من الأحرف أو المعاملات المحددة مسبقاً. يمكن لمُتصل غير مُصادق عليه حقن SQL عندما يظل الامتداد الخاضع للمراقبة بدون رد، مما يؤدي إلى تلف قاعدة البيانات وتعديل حسابات مسؤولي FreePBX للحصول على وصول عن بُعد غير مصرّح به. تم إصلاح هذه المشكلة في الإصدارات 16.0.11 و17.0.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.