CVE-2026-42341
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność umożliwiającą ominięcie płatności bez uwierzytelnienia. Atakujący może oznaczyć dowolną niezapłaconą fakturę jako opłaconą i zasilić konto klienta, wysyłając jeden spreparowany request HTTP do endpointu IPN.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży usług lub środków bez dokonania płatności, co prowadzi do strat finansowych i naruszenia integralności systemu rozliczeniowego.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.8.0. Jeśli aktualizacja nie jest możliwa, należy wyłączyć niestandardową bramkę płatności Custom payment adapter oraz ograniczyć dostęp do `/ipn.php` na poziomie serwera WWW (np. przez listę dozwolonych IP).
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Versions 0.6.0 through 0.7.2 have an unauthenticated payment bypass vulnerability in FOSSBilling's IPN callback endpoint. When the Custom payment adapter is enabled, an attacker can mark any unpaid invoice as paid and credit the associated client account without making an actual payment, by sending a single crafted HTTP request. Version 0.8.0 patches the issue. Some workarounds are available. Disable the Custom payment gateway if not actively needed and/or restrict access to `/ipn.php` at the web server level (e.g., via IP allowlisting), noting that this may interfere with legitimate payment callback processing.