CVE-2026-23513
Açıklama
FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. 0.7.2 ve önceki sürümlerde, müşteri listesi uç noktalarındaki bir sorgu oluşturma hatası, kimliği doğrulanmış müşterilerin kiracı kapsamını (tenant scoping) atlamasına ve diğer müşterilerin verilerini almasına izin vermekteydi. ServiceTransaction::getSearchQuery() ve Order\Service::getSearchQuery() fonksiyonlarında, OR tabanlı arama/eylem filtreleri gruplandırılmadan eklendiğinden, SQL operatör önceliği OR yan tümcelerinin zorunlu olan client_id kısıtlamasından bağımsız olarak değerlendirilmesine neden olmaktaydı. Bu nedenle, özel olarak hazırlanmış istekler; tanımlayıcılar, tutarlar, durumlar, zaman damgaları ve ilgili alanlar dahil olmak üzere diğer müşterilere ait kayıtları ve meta verileri döndürebiliyordu. Bu sorun 0.8.0 sürümünde düzeltildi.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FOSSBilling FOSSBilling | < 0.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.