CVE-2026-53645

FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę path traversal w nieuwierzytelnionym punkcie końcowym api/guest/system/template_exists, ponieważ funkcja templateExists używa Path::join na parametrze file kontrolowanym przez atakującego bez odrzucania sekwencji .. i weryfikacji, czy rozwiązana ścieżka pozostaje w katalogu motywu. Atakujący może ustalić, czy dowolne pliki lub katalogi istnieją na serwerze.

W FOSSBilling od wersji 0.8.4 do 0.8.6 funkcja hasManagePermission nieprawidłowo zezwala dla nieaktywnych modułów niepodstawowych, pomijając sprawdzenia dostępu. Użytkownik personelu z niskimi uprawnieniami może odczytać odszyfrowane sekrety rozszerzeń i nadpisać konfigurację nieaktywnego modułu.

FOSSBilling w wersjach od 0.6.0 do 0.7.2 zawiera podatność umożliwiającą ominięcie płatności bez uwierzytelnienia. Atakujący może oznaczyć dowolną niezapłaconą fakturę jako opłaconą i zasilić konto klienta, wysyłając jeden spreparowany request HTTP do endpointu IPN.

FOSSBilling w wersjach 0.7.2 i wcześniejszych posiada podatność w API gościa, która pozwala na tworzenie nowych kont administratorów mimo istnienia już jednego administratora. Błąd w sprawdzaniu istnienia administratora umożliwia atakującemu ominięcie zabezpieczeń.

FOSSBilling przed wersją 0.8.0 ma podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w systemie renderowania szablonów. Administratorzy mogą wstrzykiwać dowolne wyrażenia Twig, co prowadzi do ujawnienia informacji i zdalnego wykonania kodu.

FOSSBilling w wersjach od 0.5.4 do 0.8.0 ma lukę w autoryzacji w obsłudze ról API, co pozwala na nieautoryzowany dostęp do uprzywilejowanych punktów końcowych `/api/system/*`. Atakujący mogą wywoływać metody API administratora bez ważnych poświadczeń.

FOSSBilling od wersji 0.1.0 do 0.8.7 zawiera lukę w nieuwierzytelnionym punkcie końcowym POST /api/guest/client/create, który ujawnia, czy podany adres e-mail należy do zarejestrowanego klienta, zwracając odrębny, nieocenzurowany błąd. Atakujący może porównać odpowiedzi, aby ustalić, czy e-mail należy do istniejącego klienta.

W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.

W FOSSBilling w wersjach od 0.5.3 do 0.7.2, endpoint API `serviceapikey/get_info` dla gości jest dostępny bez uwierzytelniania. Każdy posiadacz ważnego klucza API może odczytać wszystkie niestandardowe parametry konfiguracyjne (`custom_*`) przechowywane w rekordzie bazy danych klucza.

W systemie FOSSBilling w wersjach od 0.5.6 do 0.7.2 istnieje podatność polegająca na tym, że przy wielokrotnym żądaniu resetowania hasła przez tego samego klienta, nie jest generowany nowy token, a wykorzystywany jest istniejący, ważny przez 15 minut od pierwotnego żądania. Atakujący, który przechwycił pierwszy link resetujący, może go użyć nawet po tym, jak ofiara zażąda nowego resetu, ponieważ oryginalny token nie jest unieważniany.