CVE-2026-53647
Təsvir
FOSSBilling pulsuz, açıq mənbəli ödəniş və müştəri idarəetmə sistemidir. 0.5.3-dən 0.7.2-dək versiyalarda Guest `serviceapikey/get_info` API endpointinə autentifikasiya olmadan çıxış mümkündür. Etibarlı API açarı olan istənilən çağıran açarın verilənlər bazası qeydində saxlanılan bütün fərdi konfiqurasiya parametrlərini (`custom_*` sahələri) əldə edə bilər. Bu fərdi sahələr ödəniş administratorları tərəfindən doldurulur və qiymət səviyyələri, funksiya bayraqları, dərəcə limitləri, bitmə müddətinin ləğvi və ya çıxış əhatəsi məlumatları kimi biznes üçün həssas məlumatları ehtiva edə bilər. 0.8.0 versiyası bu problemi aradan qaldırır. Bəzi müvəqqəti həll yolları mövcuddur. Administratorlar həssas məlumatları `custom_*` API açarı konfiqurasiya sahələrində saxlamaqdan çəkinə, `/api/guest/serviceapikey/get_info` ünvanına şübhəli çağırışlar üçün API jurnallarını izləyə və/və ya Serviceapikey modulu aktiv istifadədə deyilsə, onu deaktiv edə bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FOSSBilling FOSSBilling | >= 0.5.3, < 0.8.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.