CVE-2026-27604
Təsvir
FOSSBilling pulsuz, açıq mənbəli fakturasiya və müştəri idarəetmə sistemidir. Versiya 0.5.4-dən başlayaraq versiya 0.8.0-a qədər olan versiyalarda, API rolunun idarə edilməsindəki autentifikasiyadan yan keçmə boşluğu, imtiyazlı `/api/system/*` son nöqtələrinə autentifikasiyasız girişə şərait yaradır. `system` cron admin kimliyini təyin etdiyi üçün hücumçular etibarlı etiraznamələr, sessiya və ya CSRF tokeni olmadan admin API metodlarını çağıra bilərlər. Versiya 0.8.0 bu problemi aradan qaldırır. Bəzi alternativ həll yolları mövcuddur: reverse proxy/WAF səviyyəsində `/api/system/*` ünvanına kənar girişi bloklayın, API girişini yalnız etibarlı mənbə IP-ləri ilə məhdudlaşdırın (`api.allowed_ips`), bütün admin/müştəri API tokenlərini dərhal yeniləyin, aktiv sessiyaları etibarsız edin və yüksək imtiyazlı etiraznamələri sıfırlayın və/ya şübhəli `/api/system/` girişləri üçün API sorğu loqlarını nəzərdən keçirin və bunu potensial insident kimi qiymətləndirin.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FOSSBilling FOSSBilling | >= 0.5.4, < 0.8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.