CVE-2026-53644
Təsvir
FOSSBilling pulsuz, açıq mənbəli ödəniş və müştəri idarəetmə sistemidir. 0.5.3-dən 0.7.2-dək olan versiyalar autentifikasiyadan keçmiş müştərilərə artıq `active` vəziyyətində olmayan (məs., `suspended`, `canceled`) sifarişlər üçün API açarı xidmətinin secretlərini həm oxumağa, həm də sıfırlamağa imkan verir. Əsas səbəb iki müştəri API endpointində sifariş vəziyyətinin validasiyasının olmamasıdır, halbuki `Serviceapikey` modulunda artıq `isActive()` köməkçi funksiyası mövcuddur və frontend interfeysi girişi düzgün şəkildə `order.status == 'active'` şərtinə əsasən məhdudlaşdırır. 0.8.0 versiyası düzəlişi ehtiva edir. Bəzi müvəqqəti həll yolları mövcuddur. Əgər `Serviceapikey` moduluna ehtiyac yoxdursa, təsirlənmiş endpointləri aradan qaldırmaq üçün onu silin. Həmçinin tətbiq səviyyəsində sifariş vəziyyəti məntiqinə əsaslanaraq `/api/client/order/service` və `/api/client/serviceapikey/reset` ünvanlarına girişi məhdudlaşdırmaq üçün reverse proxy və ya WAF istifadə etmək olar.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FOSSBilling FOSSBilling | >= 0.5.3, < 0.8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.