CVE-2026-45809

Nome do Software Vulnerável e Versões Afetadas OpenSIPS versões anteriores a 3.6.6 OpenSIPS versões anteriores a 4.0.0-rc1

Description Um problema de negação de serviço existe na funcionalidade de geração de watcherinfo. Um invasor remoto pode travar um worker do OpenSIPS enviando uma requisição SUBSCRIBE Event: presence contendo um From URI longo para criar uma entrada de watcher excessiva e, subsequentemente, disparar a geração de XML de watcherinfo via presence.winfo para a mesma presentity. A falha ocorre porque o software copia o watcher URI armazenado em um buffer de pilha de tamanho fixo, resultando em um estouro de buffer. Este problema depende da configuração, exigindo que os módulos presence e presence xml estejam carregados e que a função handle subscribe() esteja exposta e acessível via roteamento SUBSCRIBE.

Recommendations Atualize para a versão 3.6.6. Atualize para a versão 4.0.0-rc1. Como mitigação temporária, restrinja o acesso à função handle subscribe() ou evite carregar os módulos presence e presence xml caso não sejam necessários.