CVE-2026-43925
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W systemie FOSSBilling przed wersją 0.8.0 wykryto podatność na masowe przypisanie w punkcie końcowym samorejestracji klienta. Niezautoryzowany atakujący może podczas rejestracji przypisać się do dowolnej grupy klientów, co umożliwia wykorzystanie kodów promocyjnych ograniczonych do danej grupy i uzyskanie nieautoryzowanych rabatów.
Ocena ryzyka
Ryzyko polega na możliwości uzyskania nieuprawnionych zniżek przez atakujących, co prowadzi do strat finansowych i naruszenia polityki cenowej organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.8.0 lub zastosowanie tymczasowego rozwiązania poprzez usunięcie ograniczeń grupowych z kodów promocyjnych albo wyłączenie samorejestracji klientów w ustawieniach systemu.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.0, an unauthenticated mass assignment vulnerability in the client self-registration endpoint allows any visitor to assign themselves to an arbitrary client group during sign-up. Because client groups can gate promo code eligibility, an attacker may apply group-restricted discount codes and receive unauthorized discounts. Version 0.8.0 contains a patch. As a workaround, administrators can either remove group restrictions from promo codes or disable client self-registration (Settings → Clients → Disable signup).