CVE-2026-43918
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W systemie FOSSBilling przed wersją 0.8.0 zawieszanie lub dezaktywacja konta nie unieważnia istniejących sesji uwierzytelnionych. Mechanizm ładowania sesji nie sprawdza statusu konta, co pozwala zawieszonemu użytkownikowi zachować pełny dostęp do wygaśnięcia sesji.
Ocena ryzyka
Organizacja naraża się na ryzyko nieautoryzowanego dostępu do systemu przez zawieszonych lub zdezaktywowanych użytkowników, co może prowadzić do naruszenia poufności danych i integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować FOSSBilling do wersji 0.8.0 lub nowszej, która unieważnia sesje po zawieszeniu/dezaktywacji konta.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.0, when a client or staff/admin account is suspended or marked inactive, existing authenticated sessions are not invalidated. The session identity loaders in src/di.php (loggedin_client and loggedin_admin) only reject sessions if the backing account record no longer exists in the database. They do not verify that the account's status is still active. This allows a suspended or deactivated user to retain full access until their session naturally expires. This issue has been fixed in version 0.8.0.