CVE-2026-40495

FOSSBilling pulsuz və açıq mənbəli fakturasiya və müştəri idarəetmə sistemidir. 0.8.0 versiyasından əvvəlki versiyalarda, HTML çıxışındakı aktiv keş təmizləyici (asset cache buster) parametrləri vasitəsilə dəqiq sistem versiyası sızır və bu, `hide_version_public` təhlükəsizlik ayarının yan keçilməsinə səbəb olur. FOSSBilling versiyası `script_tag` və `stylesheet_tag` Twig filtrləri tərəfindən yaradılan hər bir `<script>` və `<link>` teqinin sorğu sətrinə daxil edilmişdir. Bu məlumat, `hide_version_public` ayarının aktiv olub-olmamasından asılı olmayaraq, bütün səhifələrdə bütün ziyarətçilər — o cümlədən autentifikasiya olunmamış qonaqlar — üçün görünəndir. `X-FOSSBilling-Version` HTTP başlığı və `guest.system.version` API son nöqtəsi `hide_version_public` ayarına düzgün riayət edir, lakin aktiv keş təmizləyici parametrlər nəzərdən qaçırılmışdır. Dəqiq FOSSBilling versiyasının bilinməsi, zərərli aktorlar üçün konkret quraşdırmaya aid məlum boşluqları müəyyən etməyi və hədəflənmiş eksploytlar hazırlamağı xeyli asanlaşdırır. Bu, özlüyündə birbaşa boşluq olmasa da, `hide_version_public` ayarı ilə təmin edilən nəzərdə tutulmuş qorumanı zəiflədir və kəşfiyyat prosesini asanlaşdırır. 0.8.0 versiyasında düzəliş mövcuddur. Mənbə kodu dəyişdirmədən versiyanı aktiv URL-lərindən silmək üçün praktiki alternativ həll yolu yoxdur.