PT-2026-21965
CVE-2026-25554
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-03-19
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
OpenSIPS الإصدارات من 3.1 إلى 3.6.3
الوصف
يحتوي البرنامج على ثغرة حقن SQL داخل الدالة
jwt db authorize() في الوحدة النمطية auth jwt عند استخدام خلفية قاعدة بيانات SQL وتفعيل db mode. تقوم الدالة بدمج مطالبة علامة (claim of tag) من JWT مباشرةً في استعلام SQL دون التحقق من التوقيع أولاً. يمكن للمهاجم إنشاء JWT ضار يحتوي على مطالبة علامة مصممة خصيصًا للتلاعب بالاستعلام وتجاوز المصادقة، مما قد يؤدي إلى انتحال هوية مستخدمين آخرين.التوصيات
قم بالتحديث إلى الإصدار 3.6.4 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾