CVE-2026-53647
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W FOSSBilling w wersjach od 0.5.3 do 0.7.2, endpoint API `serviceapikey/get_info` dla gości jest dostępny bez uwierzytelniania. Każdy posiadacz ważnego klucza API może odczytać wszystkie niestandardowe parametry konfiguracyjne (`custom_*`) przechowywane w rekordzie bazy danych klucza.
Ocena ryzyka
Ryzyko polega na wycieku wrażliwych danych biznesowych, takich jak poziomy cenowe, flagi funkcji, limity szybkości czy zakresy dostępu, które mogą być przechowywane w polach `custom_*` przez administratorów rozliczeń.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 0.8.0. Jako tymczasowe obejście, należy unikać przechowywania wrażliwych danych w polach `custom_*` kluczy API, monitorować logi API pod kątem podejrzanych wywołań oraz wyłączyć moduł Serviceapikey, jeśli nie jest używany.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. In versions 0.5.3 through 0.7.2, the Guest `serviceapikey/get_info` API endpoint is accessible without authentication. Any caller with a valid API key can retrieve all custom configuration parameters (`custom_*` fields) stored in the key's database record. These custom fields are populated by billing administrators and can contain business-sensitive data such as pricing tiers, feature flags, rate limits, expiry overrides, or access scope data. Version 0.8.0 patches the issue. Some workarounds are available. Administrators can avoid storing sensitive data in `custom_*` API key configuration fields, monitor API logs for suspicious calls to `/api/guest/serviceapikey/get_info`, and/or disable the Serviceapikey module if not in active use.