CVE-2026-33734
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność na wstrzykiwanie SQL w module Massmailer. Uwierzytelniony administrator może dostarczyć spreparowane wartości filtrów podczas aktualizacji wiadomości e-mail, co prowadzi do bezpośredniego wstawienia niezaufanego wejścia do zapytania SQL.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do bazy danych, wycieku danych klientów lub modyfikacji wrażliwych informacji przez administratora z dostępem do modułu Massmailer.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.8.0. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp administratorów tylko do zaufanych użytkowników, wyłączyć moduł Massmailer, jeśli nie jest wymagany, oraz przejrzeć rekordy w tabeli mod_massmailer pod kątem podejrzanych wartości filtrów.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Versions 0.6.0 through 0.7.2 have a SQL injection vulnerability in the `Massmailer` module filter functionality. An authenticated administrator can supply crafted filter values when updating a mass email message, causing untrusted input to be interpolated directly into SQL in the recipient selection query. Version 0.8.0 patches the issue. Some workarounds are available. Restrict administrator access to trusted users only, disable the `Massmailer` module if it is not required, audit existing records in the `mod_massmailer` table for suspicious filter values, and/or review administrator activity related to `Massmailer` message updates.