CVE-2026-53643
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
FOSSBilling w wersjach przed 0.8.0 umożliwia kontom personelu o niskich uprawnieniach wykonywanie nieautoryzowanych działań poprzez punkty końcowe API administratora. Problem wynika z połączenia flagi modułu `can_always_access` (przyznającej dostęp wszystkim pracownikom) oraz niewystarczających kontroli uprawnień lub niebezpiecznego przetwarzania parametrów na poszczególnych punktach końcowych.
Ocena ryzyka
Ryzyko polega na tym, że pracownicy z niskimi uprawnieniami mogą uzyskać dostęp do wrażliwych ustawień i wykonać nieautoryzowane operacje, co może prowadzić do naruszenia poufności, integralności lub dostępności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.8.0. Jako tymczasowe obejście należy ograniczyć konta personelu tylko do niezbędnych osób oraz skonfigurować odwrotne proxy lub WAF, aby blokować dostęp do podatnych punktów końcowych z zaufanych adresów IP lub dla ról z wyższymi uprawnieniami.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Versions prior to 0.8.0 allow low-privileged staff accounts to perform unauthorized actions via admin API endpoints. The root cause is a combination of the `can_always_access` module flag (which grants all staff access to certain modules) and insufficient permission checks or unsafe parameter handling on individual endpoints. Version 0.8.0 contains a fix. Some workarounds are available. Restrict staff accounts to only those who need access to sensitive settings and/or use a reverse proxy or WAF to restrict access to the affected endpoints to trusted IP addresses or higher-privilege roles.