CVE-2026-43928
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W systemie FOSSBilling w wersji przed 0.8.0 adapter płatności PayPalEmail akceptuje wywołania zwrotne IPN i uznaje kwotę podaną w IPN (`mc_gross`) na saldo klienta bez weryfikacji z całkowitą kwotą faktury. W połączeniu z tolerancją błędu zmiennoprzecinkowego wynoszącą 0,05 USD w logice kredytowania płatności faktury, umożliwia to klientowi niedopłacenie faktury o maksymalnie 0,04 USD i nadal oznaczenie jej jako w pełni opłaconej.
Ocena ryzyka
Organizacja narażona jest na straty finansowe, ponieważ klienci mogą celowo niedopłacać faktury, a system błędnie uznaje je za opłacone w całości. Może to prowadzić do systematycznych nadużyć i trudności w identyfikacji nieprawidłowych transakcji.
Rekomendacja
Należy niezwłocznie zaktualizować system FOSSBilling do wersji 0.8.0 lub nowszej. Do czasu aktualizacji zaleca się ręczne monitorowanie transakcji IPN pod kątem kwot niezgodnych z fakturami oraz ręczne przeglądanie i zwracanie podejrzanych płatności.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.0, the PayPalEmail payment adapter accepts PayPal IPN callbacks and credits the IPN-supplied amount (`mc_gross`) to the client's balance without validating it against the invoice total. Combined with a $0.05 floating-point epsilon tolerance in the invoice credit-payment logic, this allows a client to underpay an invoice by up to $0.04 and still have it marked as fully paid. Version 0.8.0 patches the issue. There is no effective workaround without modifying the source code. Merchants using the PayPalEmail adapter should monitor IPN transactions for amounts that do not match their corresponding invoice totals, and manually review and refund suspicious payments.