CVE-2026-53640
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
FOSSBilling przed wersją 0.8.0 zawiera podatność, w której konta personelu o niskich uprawnieniach mogą odczytywać wrażliwe dane poprzez punkty końcowe API administratora pozbawione kontroli dostępu. Punkty końcowe do zapisu poprawnie egzekwują uprawnienia, ale odpowiadające im punkty odczytu nie mają żadnych zabezpieczeń autoryzacyjnych.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do poufnych danych klientów i systemu przez personel o niskich uprawnieniach, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Należy niezwłocznie zaktualizować FOSSBilling do wersji 0.8.0 lub nowszej. Jako tymczasowe obejście, ogranicz dostęp do kont personelu tylko do niezbędnych osób oraz zastosuj odwrotne proxy lub WAF w celu zablokowania dostępu do podatnych punktów końcowych.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.0, low-privileged staff accounts may read sensitive data via admin API endpoints that lack permission checks. While sibling write endpoints correctly enforce fine-grained permissions, the corresponding read endpoints have no authorization guards. Version 0.8.0 contains a fix. Some workarounds are available. Restrict staff accounts to only those who need access to sensitive data and/or use a reverse proxy or WAF to restrict access to the affected endpoints.