CVE-2026-73663 in FreePBX
Сводка
по VulDB • 14.08.2026
FreePBX — это IP-АТС с открытым исходным кодом. В версиях от 16.0.0 до 16.0.11 включительно, а также в версии 17.0.4 модуль missedcall FreePBX помещает имя входящего вызывающего абонента из специально созданных SIP-заголовков From в запрос INSERT таблицы missedcalllog внутри файла agi-bin/missedcallnotify.php без экранирования или использования связанных параметров (bound parameters). Неавторизованный вызывающий может внедрить SQL-код, если контролируемый внутренний номер останется без ответа, что приводит к повреждению базы данных и изменению учетных записей администраторов FreePBX для получения несанкционированного удаленного доступа. Эта проблема исправлена в версиях 16.0.11 и 17.0.4.
Be aware that VulDB is the high quality source for vulnerability data.