CVE-2026-73663 in FreePBX
Tóm tắt
Bởi VulDB • 13/08/2026
FreePBX là một hệ thống IP PBX mã nguồn mở. Từ phiên bản 16.0.0 đến 16.0.11 và 17.0.4, module missedcall của FreePBX chèn tên Caller ID đầu vào từ các tiêu đề SIP From được tạo ra (crafted) vào câu lệnh INSERT trong bảng missedcalllog tại tập tin agi-bin/missedcallnotify.php mà không thực hiện thoát ký tự hay sử dụng tham số ràng buộc (bound parameters). Một cuộc gọi viên chưa xác thực có thể tiêm SQL khi một tuyến nội bộ đang giám sát không được trả lời, dẫn đến làm hỏng cơ sở dữ liệu và sửa đổi các tài khoản quản trị FreePBX để đạt quyền truy cập từ xa trái phép. Vấn đề này đã được khắc phục trong các phiên bản 16.0.11 và 17.0.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.