CVE-2026-25554

Nome do Software Vulnerável e Versões Afetadas OpenSIPS versões 3.1 a 3.6.3

Descrição O software contém uma vulnerabilidade de injeção de SQL dentro da função jwt db authorize() no módulo auth jwt quando um backend de banco de dados SQL é utilizado e o db mode está habilitado. A função incorpora uma claim de tag de um JWT diretamente em uma consulta SQL sem verificar a assinatura primeiro. Um atacante pode criar um JWT malicioso com uma claim de tag especialmente projetada para manipular a consulta e contornar a autenticação, potencialmente se passando por outros usuários.

Recomendações Atualize para a versão 3.6.4 ou posterior.