CVE-2026-43924
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
FOSSBilling przed wersją 0.8.0 zawiera podatność na otwarte przekierowanie w module Redirect. Moduł nie sprawdza schematu URL w konfigurowanych przez administratora docelowych adresach, co pozwala na ustawienie dowolnych zewnętrznych URL-i jako celów przekierowania.
Ocena ryzyka
Atakujący z uprawnieniami administratora może skonfigurować przekierowanie do złośliwej strony, co może być wykorzystane do ataków phishingowych. Przekierowanie jest trwale buforowane przez przeglądarki.
Rekomendacja
Zaktualizuj FOSSBilling do wersji 0.8.0. Ogranicz dostęp do modułu Redirect tylko zaufanym administratorom i przejrzyj istniejące wpisy w bazie danych.
Inne podatności w FOSSBilling
Zobacz wszystkie- CVE-2026-111048Wysokie
FOSSBilling to platforma open source do rozliczeń i zarządzania klientami. Od wersji 0.1.0 do 0.8.9 endpoint admin/support/note_create przechowuje parametr note bez sanityzacji w tabeli support_ticket_note, a szablon src/modules/Support/templates/admin/mod_support_tickets.html.twig renderuje każdą notatkę przez innerHTML na liście zgłoszeń w panelu administracyjnym. Użytkownik personelu z uprawnieniem support.manage_tickets może zapisać HTML lub JavaScript, który wykonuje się, gdy inny członek personelu otworzy notatki zgłoszenia. Skrypt działa z sesją i uprawnieniami przeglądającego, może odczytać token CSRF i dostępne dane klienta lub faktury oraz wykonywać akcje administracyjne dostępne dla przeglądającego, w tym Super Administratora. Strona szczegółów zgłoszenia nie jest podatna, ponieważ jej renderowanie Twig używa autoescapingu. Problem naprawiono w wersji 0.8.9.
- CVE-2026-112374Średnie
FOSSBilling w wersjach przed 0.8.9 zawiera podatność Cross-Site Request Forgery w punkcie logowania personelu (POST /api/guest/staff/login). Funkcja checkGuestClientAuthentication() zezwala tylko na client_login i client_create, pozostawiając staff_login bez walidacji CSRF lub Origin, co pozwala zdalnym atakującym wymusić uwierzytelnienie.
- CVE-2026-111053Średnie
FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę path traversal w nieuwierzytelnionym punkcie końcowym api/guest/system/template_exists, ponieważ funkcja templateExists używa Path::join na parametrze file kontrolowanym przez atakującego bez odrzucania sekwencji .. i weryfikacji, czy rozwiązana ścieżka pozostaje w katalogu motywu. Atakujący może ustalić, czy dowolne pliki lub katalogi istnieją na serwerze.
- CVE-2026-111046Niskie
W FOSSBilling od wersji 0.8.4 do 0.8.6 funkcja hasManagePermission nieprawidłowo zezwala dla nieaktywnych modułów niepodstawowych, pomijając sprawdzenia dostępu. Użytkownik personelu z niskimi uprawnieniami może odczytać odszyfrowane sekrety rozszerzeń i nadpisać konfigurację nieaktywnego modułu.
- CVE-2026-42341Krytyczne
FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność umożliwiającą ominięcie płatności bez uwierzytelnienia. Atakujący może oznaczyć dowolną niezapłaconą fakturę jako opłaconą i zasilić konto klienta, wysyłając jeden spreparowany request HTTP do endpointu IPN.
- CVE-2026-33543Krytyczne
FOSSBilling w wersjach 0.7.2 i wcześniejszych posiada podatność w API gościa, która pozwala na tworzenie nowych kont administratorów mimo istnienia już jednego administratora. Błąd w sprawdzaniu istnienia administratora umożliwia atakującemu ominięcie zabezpieczeń.
- CVE-2026-28496Krytyczne
FOSSBilling przed wersją 0.8.0 ma podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w systemie renderowania szablonów. Administratorzy mogą wstrzykiwać dowolne wyrażenia Twig, co prowadzi do ujawnienia informacji i zdalnego wykonania kodu.
- CVE-2026-27604Krytyczne
FOSSBilling w wersjach od 0.5.4 do 0.8.0 ma lukę w autoryzacji w obsłudze ról API, co pozwala na nieautoryzowany dostęp do uprzywilejowanych punktów końcowych `/api/system/*`. Atakujący mogą wywoływać metody API administratora bez ważnych poświadczeń.
- CVE-2026-111056Średnie
FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę w nieuwierzytelnionym punkcie końcowym POST /api/guest/client/create, który ujawnia, czy podany adres e-mail należy do zarejestrowanego klienta, zwracając odrębny, nieocenzurowany błąd. Atakujący może porównać odpowiedzi, aby ustalić, czy e-mail należy do istniejącego klienta.
- CVE-2026-53648Średnie
W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.0, the Redirect module does not validate the URL scheme of administrator-configured destination URLs before storing or issuing redirects. This allows arbitrary external URLs to be configured as redirect targets, creating an open redirect vulnerability exploitable for phishing attacks. Users following a legitimate FOSSBilling URL can be silently redirected to an attacker-controlled external site. The redirect is issued as a 301 (Moved Permanently) response, which browsers cache persistently, amplifying the impact. Exploitation requires administrator privileges to create or modify redirect entries, limiting practical attack scenarios to multi-admin environments or compromised admin accounts. Version 0.8.0 fixes the issue. Some workarounds are available. Restrict admin access to the Redirect module to trusted administrators only and/or audit existing redirect entries in the database (the `extension_meta` table with `extension = 'mod_redirect'`) for any unexpected or external target URLs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS