CVE-2026-111048
WysokieCVSS 8.4Streszczenie
FOSSBilling to platforma open source do rozliczeń i zarządzania klientami. Od wersji 0.1.0 do 0.8.9 endpoint admin/support/note_create przechowuje parametr note bez sanityzacji w tabeli support_ticket_note, a szablon src/modules/Support/templates/admin/mod_support_tickets.html.twig renderuje każdą notatkę przez innerHTML na liście zgłoszeń w panelu administracyjnym. Użytkownik personelu z uprawnieniem support.manage_tickets może zapisać HTML lub JavaScript, który wykonuje się, gdy inny członek personelu otworzy notatki zgłoszenia. Skrypt działa z sesją i uprawnieniami przeglądającego, może odczytać token CSRF i dostępne dane klienta lub faktury oraz wykonywać akcje administracyjne dostępne dla przeglądającego, w tym Super Administratora. Strona szczegółów zgłoszenia nie jest podatna, ponieważ jej renderowanie Twig używa autoescapingu. Problem naprawiono w wersji 0.8.9.
Ocena ryzyka
Personel z ograniczonymi uprawnieniami może wykonać atak XSS typu stored, przejmując sesję innych pracowników, w tym Super Administratora, i uzyskując dostęp do danych klientów oraz wykonywanie akcji administracyjnych.
Rekomendacja
Zaktualizuj FOSSBilling do wersji 0.8.9 lub nowszej, aby naprawić podatność.
Inne podatności w FOSSBilling
Zobacz wszystkie- CVE-2026-112374Średnie
FOSSBilling w wersjach przed 0.8.9 zawiera podatność Cross-Site Request Forgery w punkcie logowania personelu (POST /api/guest/staff/login). Funkcja checkGuestClientAuthentication() zezwala tylko na client_login i client_create, pozostawiając staff_login bez walidacji CSRF lub Origin, co pozwala zdalnym atakującym wymusić uwierzytelnienie.
- CVE-2026-111053Średnie
FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę path traversal w nieuwierzytelnionym punkcie końcowym api/guest/system/template_exists, ponieważ funkcja templateExists używa Path::join na parametrze file kontrolowanym przez atakującego bez odrzucania sekwencji .. i weryfikacji, czy rozwiązana ścieżka pozostaje w katalogu motywu. Atakujący może ustalić, czy dowolne pliki lub katalogi istnieją na serwerze.
- CVE-2026-111046Niskie
W FOSSBilling od wersji 0.8.4 do 0.8.6 funkcja hasManagePermission nieprawidłowo zezwala dla nieaktywnych modułów niepodstawowych, pomijając sprawdzenia dostępu. Użytkownik personelu z niskimi uprawnieniami może odczytać odszyfrowane sekrety rozszerzeń i nadpisać konfigurację nieaktywnego modułu.
- CVE-2026-42341Krytyczne
FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność umożliwiającą ominięcie płatności bez uwierzytelnienia. Atakujący może oznaczyć dowolną niezapłaconą fakturę jako opłaconą i zasilić konto klienta, wysyłając jeden spreparowany request HTTP do endpointu IPN.
- CVE-2026-33543Krytyczne
FOSSBilling w wersjach 0.7.2 i wcześniejszych posiada podatność w API gościa, która pozwala na tworzenie nowych kont administratorów mimo istnienia już jednego administratora. Błąd w sprawdzaniu istnienia administratora umożliwia atakującemu ominięcie zabezpieczeń.
- CVE-2026-28496Krytyczne
FOSSBilling przed wersją 0.8.0 ma podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w systemie renderowania szablonów. Administratorzy mogą wstrzykiwać dowolne wyrażenia Twig, co prowadzi do ujawnienia informacji i zdalnego wykonania kodu.
- CVE-2026-27604Krytyczne
FOSSBilling w wersjach od 0.5.4 do 0.8.0 ma lukę w autoryzacji w obsłudze ról API, co pozwala na nieautoryzowany dostęp do uprzywilejowanych punktów końcowych `/api/system/*`. Atakujący mogą wywoływać metody API administratora bez ważnych poświadczeń.
- CVE-2026-111056Średnie
FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę w nieuwierzytelnionym punkcie końcowym POST /api/guest/client/create, który ujawnia, czy podany adres e-mail należy do zarejestrowanego klienta, zwracając odrębny, nieocenzurowany błąd. Atakujący może porównać odpowiedzi, aby ustalić, czy e-mail należy do istniejącego klienta.
- CVE-2026-53648Średnie
W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.
- CVE-2026-53647Średnie
W FOSSBilling w wersjach od 0.5.3 do 0.7.2, endpoint API `serviceapikey/get_info` dla gości jest dostępny bez uwierzytelniania. Każdy posiadacz ważnego klucza API może odczytać wszystkie niestandardowe parametry konfiguracyjne (`custom_*`) przechowywane w rekordzie bazy danych klucza.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is an open source billing and client-management platform. From 0.1.0 until 0.8.9, the admin/support/note_create endpoint stores the note parameter without sanitization in the support_ticket_note table, and src/modules/Support/templates/admin/mod_support_tickets.html.twig renders each stored support ticket note through innerHTML in the admin ticket list. A staff user with only the support.manage_tickets permission can store HTML or JavaScript that executes when another staff member opens the ticket notes. The script runs with the viewing staff member's session and privileges, can read a CSRF token and accessible client or invoice data, and can perform administrative actions available to the viewer, including a Super Administrator. The ticket detail page is not affected because its Twig rendering uses autoescaping. This issue is fixed in version 0.8.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS