CVE-2026-53645
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
FOSSBilling przed wersją 0.8.0 zawiera podatność, która pozwala pracownikowi z niskimi uprawnieniami na eskalację swoich uprawnień poprzez API administracyjne. Użytkownik z uprawnieniem `staff.create_and_edit_staff` może wywołać endpoint `/api/admin/staff/permissions_update` dla własnego konta i ustawić dowolne uprawnienia, omijając kontrolę dostępu opartą na rolach.
Ocena ryzyka
Ryzyko polega na tym, że nieuprzywilejowany pracownik może trwale uzyskać pełną kontrolę nad systemem, co może prowadzić do kradzieży danych, modyfikacji konfiguracji lub przejęcia kont klientów.
Rekomendacja
Należy natychmiast zaktualizować FOSSBilling do wersji 0.8.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz uprawnienie `staff.create_and_edit_staff` tylko do zaufanych pracowników i zablokuj dostęp do endpointu `/api/admin/staff/permissions_update` za pomocą reverse proxy lub WAF.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Versions prior to 0.8.0 allow a low-privileged staff account to grant arbitrary module permissions to itself through the admin API, resulting in persistent privilege escalation. A staff user that only has `staff.create_and_edit_staff` can call `/api/admin/staff/permissions_update` targeting their own account and write any permission structure, bypassing the intended role-based access control boundary. Version 0.8.0 patches the issue. Some workarounds are available. Restrict the `staff.create_and_edit_staff` permission to only highly trusted staff members and/or use a reverse proxy or WAF to restrict access to `/api/admin/staff/permissions_update` to specific trusted roles.