PT-2026-71884

CVE-2026-73663

·

Publicado

2026-08-13

·

Atualizado

2026-09-18

Descrição por

CVSS 3.1
9.8
Crítica
MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas FreePBX versões 16.0.0 até 16.0.10 FreePBX versões anteriores a 17.0.4
Description O módulo missedcall não escapa adequadamente ou não utiliza parâmetros vinculados ao inserir o nome do Caller ID de entrada proveniente de cabeçalhos SIP From no missedcalllog. Isso ocorre no arquivo agi-bin/missedcallnotify.php. Um chamador não autenticado pode explorar isso enviando cabeçalhos SIP manipulados quando uma extensão monitorada não é atendida, permitindo a injeção de SQL. Isso pode resultar na corrupção do banco de dados e na modificação de contas de administrador para obter acesso remoto não autorizado.
Recommendations Atualize para a versão 16.0.11. Atualize para a versão 17.0.4.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')
Identificadores relacionados
CVE-2026-73663
GHSA-G27H-XF3Q-H3RM
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com