CVE-2026-43921
Təsvir
FOSSBilling pulsuz və açıq mənbəli fakturasiya və müştəri idarəetmə sistemidir. 0.6.10-dan 0.7.2-dək olan versiyalarda FOSSBilling-in `Config::prettyPrintArrayToPHP()` metodunda PHP kodunun inyeksiyası zəifliyi mövcuddur. Konfiqurasiya dəyərləri yeniləndikdə, sətir dəyərləri tək dırnaq işarələri ekranlaşdırılmadan (escaping) `config.php` faylına yazılır. `config.php` hər bir HTTP sorğusu zamanı sadə `include` vasitəsilə yükləndiyi üçün, admin imtiyazlarına malik hücumçu, növbəti hər bir sorğuda icra olunan ixtiyari PHP kodu inyeksiya edə bilər. 0.8.0 versiyasında bu problem üçün yamaq tətbiq edilmişdir. Bəzi alternativ həll yolları mövcuddur: admin girişini yalnız etibarlı personalla məhdudlaşdırın; `config.php` faylını gözlənilməz PHP kodları üçün audit edin; və/və ya reverse proxy/WAF səviyyəsində konfiqurasiyanı dəyişdirən admin API son nöqtələrinə girişi məhdudlaşdırın.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FOSSBilling FOSSBilling | >= 0.6.10, < 0.8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.