CVE-2026-43926

FOSSBilling pulsuz və açıq mənbəli fakturasiya və müştəri idarəetmə sistemidir. Versiya 0.8.0-dan əvvəl, `/client/reset-password-confirm/:hash` şifrə sıfırlama təsdiqi son nöqtəsi API olmayan kontroller tərəfindən idarə olunur və yalnız `/api/*` marşrutlarına tətbiq edilən FOSSBilling-in rate limiter-i (sorğu məhdudlaşdırıcısı) tərəfindən əhatə olunmur. Bu, hücumçuya hər bir IP üçün sorğu məhdudiyyəti, cəhd sayğacı və ya bloklama mexanizmi olmadan həmin son nöqtədə etibarlı sıfırlama tokenlərini yoxlamağa imkan verir. Son nöqtə orakl kimi çıxış edir və etibarlı və ya etibarsız tokenlər üçün fərqləndirilmiş cavablar qaytarır (HTTP 200 və HTTP 302 yönləndirməsi). Hücumçu heç bir məhdudiyyət tətbiq edilmədən şifrə sıfırlama təsdiqi son nöqtəsinə limitsiz token təxminləri göndərə bilər. Lakin, hazırkı token generasiyası `hash('sha256', random_bytes(32))` istifadə edərək 256 bit entropiya təmin etdiyi üçün praktiki istismar imkanı əhəmiyyətli dərəcədə azalmışdır. Tokenlər həmçinin 15 dəqiqədən sonra vaxtı bitir və uğurlu istifadədən sonra silinir. Eyni memarlıq boşluğu digər kontroller tərəfindən xidmət göstərilən autentifikasiya marşrutlarına da aiddir, o cümlədən `/staff/email/:hash` (administrator şifrəsinin sıfırlama təsdiqi) və `/client/confirm-email/:hash` (elektron poçt təsdiqi). Versiya 0.8.0 bu problemi aradan qaldırır. Bəzi alternativ həll yolları mövcuddur. `/client/reset-password-confirm/*` və `/staff/email/*` yollarına hər IP üzrə rate limiting tətbiq etmək üçün tərs proksi (məsələn, Nginx, Apache, Cloudflare) konfiqurasiya edin və/və ya bu son nöqtələrə sorğu sürətini məhdudlaşdırmaq üçün WAF qaydasından istifadə edin.