CVE-2026-53648
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W FOSSBilling przed wersją 0.8.1 pliki produktów do pobrania są przechowywane pod ścieżką deterministycznie zależną od nazwy pliku (hash MD5). Dwóch różnych produktów lub plików zamówień o tej samej oryginalnej nazwie nadpisuje się nawzajem, co prowadzi do dostarczenia klientom lub administratorom nieprawidłowego pliku.
Ocena ryzyka
Organizacja naraża się na ryzyko dostarczenia klientom nieautoryzowanych lub złośliwych plików zamiast zamówionych produktów, co może skutkować naruszeniem integralności danych, utratą zaufania oraz potencjalnymi konsekwencjami prawnymi.
Rekomendacja
Należy niezwłocznie zaktualizować FOSSBilling do wersji 0.8.1 lub nowszej. Do czasu aktualizacji ograniczyć uprawnienie 'servicedownloadable.manage' tylko do zaufanych administratorów oraz stosować unikalne nazwy plików przed przesłaniem.
Oryginalny opis (angielski, źródło NVD)
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.1, downloadable product files are stored using a deterministic filename-derived path. When an administrator uploads a file for a downloadable product, FOSSBilling stores the file as `md5(<original filename>)` under the uploads directory. Because the stored path depends only on the client-supplied filename, two different downloadable products, or product/order files, uploaded with the same original filename will resolve to the same stored file path. A later upload can overwrite an earlier upload, causing customers or administrators downloading the earlier product to receive the later file instead. Version 0.8.1 patches the issue. Some workarounds are available. Restrict the `servicedownloadable.manage` permission to fully trusted administrators only. As an operational mitigation, ensure downloadable product files use unique filenames before upload. This reduces accidental collisions but does not fully address the underlying issue.