CVE-2026-23513
Təsvir
FOSSBilling pulsuz və açıq mənbəli fakturasiya və müştəri idarəetmə sistemidir. 0.7.2 və daha əvvəlki versiyalarda, müştəri siyahısı son nöqtələrindəki sorğu qurma xətası autentifikasiya olunmuş müştərilərə tenant məhdudiyyətlərini yan keçməyə və digər müştərilərin məlumatlarını əldə etməyə imkan verirdi. ServiceTransaction::getSearchQuery() və Order\Service::getSearchQuery() funksiyalarında OR əsaslı axtarış/əməliyyat filtrləri qruplaşdırılmadan əlavə edilmişdir ki, bu da SQL operatorlarının üstünlük sırasının OR bəndlərini tətbiq edilmiş client_id məhdudiyyətindən asılı olmayaraq qiymətləndirməsinə şərait yaratmışdır. Buna görə də, xüsusi hazırlanmış sorğular digər müştərilərə aid olan identifikatorlar, məbləğlər, statuslar, vaxt möhürləri və əlaqəli sahələr daxil olmaqla qeydləri və metadata-nı qaytara bilərdi. Bu problem 0.8.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FOSSBilling FOSSBilling | < 0.8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.