CVE-2026-53641
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność na trwałe skrypty między witrynami (XSS) w widokach historii e-maili widocznych dla klientów. Treść HTML e-maili jest renderowana w szablonie JavaScript bez odpowiedniego kodowania, co pozwala atakującemu z dostępem administracyjnym na wstrzyknięcie złośliwego kodu JavaScript.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wstrzyknąć złośliwy skrypt do treści e-maila, który wykona się w przeglądarce klienta przeglądającego historię wiadomości. Może to prowadzić do kradzieży sesji, wycieku danych lub dalszych ataków na klientów.
Rekomendacja
Należy niezwłocznie zaktualizować FOSSBilling do wersji 0.8.0, która zawiera poprawkę. Do czasu aktualizacji należy ograniczyć dostęp do kont administracyjnych, audytować treść e-maili w bazie danych pod kątem podejrzanych ładunków oraz monitorować konta klientów pod kątem nietypowej aktywności.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Versions 0.6.0 through 0.7.2 have a stored cross-site scripting (XSS) vulnerability in the client-facing email history views of FOSSBilling. Email HTML content (`content_html`) is rendered into a JavaScript template literal using the `|raw` filter, bypassing all output escaping. An attacker with admin access can inject malicious JavaScript payloads into email content that execute in the browser of any client who views their email history. Version 0.8.0 contains a fix. Some workarounds are available. Restrict admin account access, audit email content in the database for suspicious payloads, and/or monitor client accounts for unusual activity.