CVE-2025-64105
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
FOSSBilling, system do zarządzania fakturami i klientami, ma podatność na IDOR w wersjach od 0.6.21 do 0.7.2, umożliwiającą uwierzytelnionym klientom tworzenie zgłoszeń wsparcia, które odnoszą się do zamówień innych klientów. Metoda ticketCreateForClient() nie weryfikowała własności zamówienia, co pozwalało na manipulację rel_id.
Ocena ryzyka
Podatność ta może prowadzić do wprowadzenia personelu w błąd, co do działań na niewłaściwych zamówieniach, co zagraża integralności i poufności danych. Choć nie ma ujawnienia danych zamówień między klientami, identyfikatory zamówień mogą być widoczne w kontekście zgłoszeń.
Rekomendacja
Zaleca się aktualizację systemu FOSSBilling do wersji 0.8.0, aby usunąć tę podatność. Należy również przeprowadzić audyt istniejących zgłoszeń wsparcia w celu weryfikacji poprawności działań personelu.
Inne podatności w FOSSBilling
Zobacz wszystkie- CVE-2026-111048Wysokie
FOSSBilling to platforma open source do rozliczeń i zarządzania klientami. Od wersji 0.1.0 do 0.8.9 endpoint admin/support/note_create przechowuje parametr note bez sanityzacji w tabeli support_ticket_note, a szablon src/modules/Support/templates/admin/mod_support_tickets.html.twig renderuje każdą notatkę przez innerHTML na liście zgłoszeń w panelu administracyjnym. Użytkownik personelu z uprawnieniem support.manage_tickets może zapisać HTML lub JavaScript, który wykonuje się, gdy inny członek personelu otworzy notatki zgłoszenia. Skrypt działa z sesją i uprawnieniami przeglądającego, może odczytać token CSRF i dostępne dane klienta lub faktury oraz wykonywać akcje administracyjne dostępne dla przeglądającego, w tym Super Administratora. Strona szczegółów zgłoszenia nie jest podatna, ponieważ jej renderowanie Twig używa autoescapingu. Problem naprawiono w wersji 0.8.9.
- CVE-2026-112374Średnie
FOSSBilling w wersjach przed 0.8.9 zawiera podatność Cross-Site Request Forgery w punkcie logowania personelu (POST /api/guest/staff/login). Funkcja checkGuestClientAuthentication() zezwala tylko na client_login i client_create, pozostawiając staff_login bez walidacji CSRF lub Origin, co pozwala zdalnym atakującym wymusić uwierzytelnienie.
- CVE-2026-111053Średnie
FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę path traversal w nieuwierzytelnionym punkcie końcowym api/guest/system/template_exists, ponieważ funkcja templateExists używa Path::join na parametrze file kontrolowanym przez atakującego bez odrzucania sekwencji .. i weryfikacji, czy rozwiązana ścieżka pozostaje w katalogu motywu. Atakujący może ustalić, czy dowolne pliki lub katalogi istnieją na serwerze.
- CVE-2026-111046Niskie
W FOSSBilling od wersji 0.8.4 do 0.8.6 funkcja hasManagePermission nieprawidłowo zezwala dla nieaktywnych modułów niepodstawowych, pomijając sprawdzenia dostępu. Użytkownik personelu z niskimi uprawnieniami może odczytać odszyfrowane sekrety rozszerzeń i nadpisać konfigurację nieaktywnego modułu.
- CVE-2026-42341Krytyczne
FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność umożliwiającą ominięcie płatności bez uwierzytelnienia. Atakujący może oznaczyć dowolną niezapłaconą fakturę jako opłaconą i zasilić konto klienta, wysyłając jeden spreparowany request HTTP do endpointu IPN.
- CVE-2026-33543Krytyczne
FOSSBilling w wersjach 0.7.2 i wcześniejszych posiada podatność w API gościa, która pozwala na tworzenie nowych kont administratorów mimo istnienia już jednego administratora. Błąd w sprawdzaniu istnienia administratora umożliwia atakującemu ominięcie zabezpieczeń.
- CVE-2026-28496Krytyczne
FOSSBilling przed wersją 0.8.0 ma podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w systemie renderowania szablonów. Administratorzy mogą wstrzykiwać dowolne wyrażenia Twig, co prowadzi do ujawnienia informacji i zdalnego wykonania kodu.
- CVE-2026-27604Krytyczne
FOSSBilling w wersjach od 0.5.4 do 0.8.0 ma lukę w autoryzacji w obsłudze ról API, co pozwala na nieautoryzowany dostęp do uprzywilejowanych punktów końcowych `/api/system/*`. Atakujący mogą wywoływać metody API administratora bez ważnych poświadczeń.
- CVE-2026-111056Średnie
FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę w nieuwierzytelnionym punkcie końcowym POST /api/guest/client/create, który ujawnia, czy podany adres e-mail należy do zarejestrowanego klienta, zwracając odrębny, nieocenzurowany błąd. Atakujący może porównać odpowiedzi, aby ustalić, czy e-mail należy do istniejącego klienta.
- CVE-2026-53648Średnie
W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a billing and client management system that automates invoicing, payments, and communication for online service businesses. Versions 0.6.21 through 0.7.2 are vulnerable to IDOR through the support ticket creation workflow. By manipulating rel_id when rel_type=order, an authenticated client can create a support ticket that references another client's order they do not own. The ticketCreateForClient() method accepted rel_id without verifying order ownership for non-upgrade tasks, allowing clients to link a new ticket to another client's order by crafting the request. No cron task automatically processes cancel/upgrade requests from ticket relations; staff action is required. This affects integrity and confidentiality: staff could be misled into acting on the wrong order (e.g., cancellation or upgrade requests). While there is no client-to-client order data exposure, order IDs may appear in ticket context. This issue has been fixed in version 0.8.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS