Opensips · Opensis · CVE-2021-39378
**Nome do software vulnerável e versões afetadas**
openSIS versão 8.0
**Descrição**
Existe uma vulnerabilidade de injeção de SQL, permitindo que um invasor mal-intencionado envie comandos SQL ao banco de dados por meio do parâmetro `str` no arquivo NamesList.php. Isso se deve à falta de proteção da estrutura da consulta SQL, permitindo que um invasor remoto execute consultas SQL arbitrárias usando o parâmetro NamesList.php.
**Recomendações**
Para o openSIS versão 8.0, considere restringir o acesso ao arquivo NamesList.php ou ao parâmetro `str` para minimizar o risco de exploração até que um patch esteja disponível. Como solução alternativa temporária, desativar o uso do MySQL (MariaDB) como banco de dados da aplicação também pode reduzir o risco, mas isso deve ser cuidadosamente considerado devido a possíveis impactos na funcionalidade da aplicação. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.