CVE-2026-43921
WysokieCVSS 8.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
FOSSBilling w wersjach od 0.6.10 do 0.7.2 zawiera podatność na wstrzykiwanie kodu PHP w metodzie Config::prettyPrintArrayToPHP(). Atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod PHP do pliku config.php, który jest wykonywany przy każdym żądaniu HTTP.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad systemem przez uprzywilejowanego atakującego, co może prowadzić do kradzieży danych, modyfikacji konfiguracji lub dalszego rozprzestrzeniania się ataku w infrastrukturze.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.8.0. Jeśli nie jest to możliwe, należy ograniczyć dostęp administracyjny tylko do zaufanych osób, regularnie audytować plik config.php oraz zablokować na poziomie reverse proxy/WAF dostęp do endpointów API modyfikujących konfigurację.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Versions 0.6.10 through 0.7.2 have a PHP code injection vulnerability in FOSSBilling's `Config::prettyPrintArrayToPHP()` method. When configuration values are updated, string values are written into `config.php` without escaping single quotes. Because `config.php` is loaded via a bare `include` on every HTTP request, an attacker with admin privileges can inject arbitrary PHP code that executes on every subsequent request. Version 0.8.0 contains a patch. Some workarounds are available. Restrict admin access to trusted personnel only; audit `config.php` for unexpected PHP code; and/ or at the reverse proxy/WAF level, restrict access to admin API endpoints that modify configuration.