CVE-2026-53642
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W FOSSBilling w wersjach od 0.5.6 do 0.7.2, gdy włączone jest ustawienie „Wymagaj potwierdzenia e-mail”, zalogowany klient z niepotwierdzonym adresem e-mail może uzyskać dostęp do wszystkich stron strefy klienta, takich jak saldo portfela czy historia transakcji. Ograniczenia po stronie API działają poprawnie, ale po stronie stron są zbyt liberalne, przepuszczając każde żądanie zaczynające się od „/client”.
Ocena ryzyka
Organizacja naraża się na wyciek wrażliwych danych finansowych klientów, takich jak salda portfeli i historia transakcji, co może prowadzić do naruszenia prywatności i utraty zaufania.
Rekomendacja
Należy niezwłocznie zaktualizować FOSSBilling do wersji 0.8.0, która zawiera poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. In versions 0.5.6 through 0.7.2, when the "Require Email Confirmation" setting is enabled, a logged-in client with an unverified email address (`email_approved = 0`) can access all client-area pages (e.g. `/client/balance`, `/client/order/list`, `/client/invoice`) and read real account data, including wallet balances and transaction history. The API-side enforcement correctly restricts unverified clients to only profile-related endpoints, but the page-side enforcement is overly permissive, allowing any request whose path starts with `/client`. Version 0.8.0 contains a fix. No known workarounds that don't involve modifying the source code are available.