CVE-2026-27604

FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. Versiyon 0.5.4'ten başlayarak versiyon 0.8.0 öncesine kadar olan sürümlerde, API rol işlemedeki bir kimlik doğrulama atlatma açığı, ayrıcalıklı `/api/system/*` uç noktalarına kimlik doğrulaması yapılmamış erişime izin vermektedir. `system` ifadesinin cron yönetici kimliği ile çözümlenmesi nedeniyle saldırganlar; geçerli kimlik bilgileri, oturum veya CSRF belirteci olmadan yönetici API yöntemlerini çağırabilirler. Versiyon 0.8.0 bu sorunu gidermektedir. Bazı geçici çözümler mevcuttur: Ters proxy/WAF üzerinde `/api/system/*` adresine olan harici erişimi engelleyin, API erişimini yalnızca güvenilir kaynak IP'leri ile sınırlandırın (`api.allowed_ips`), tüm yönetici/müşteri API belirteçlerini derhal döndürün, aktif oturumları geçersiz kılın ve yüksek yetkili kimlik bilgilerini sıfırlayın ve/veya şüpheli `/api/system/` erişimleri için API istek günlüklerini inceleyerek bunları potansiyel olay olarak değerlendirin.