CVE-2026-28496
Açıklama
FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. 0.8.0 öncesindeki sürümlerde, şablon oluşturma sisteminde bir Sunucu Taraflı Şablon Enjeksiyonu (SSTI) zafiyeti bulunmaktadır. Twig şablonlarını işleyen özelliklere (e-posta şablonları, toplu e-posta kampanyaları, özel ödeme adaptörleri ve `string_render` API uç noktası) erişimi olan yöneticiler, bilgi ifşasına ve uzaktan kod çalıştırmaya yol açan rastgele Twig ifadeleri enjekte edebilirler. Zafiyet, Twig şablonlarının bir sandbox olmadan işlenmesi nedeniyle ortaya çıkmakta; bu durum tüm Twig ortamına, API bağlamına ve uygulamanın bağımlılık enjeksiyonu konteynerine erişime izin vermektedir. Sürüm 0.8.0 bu sorunu gidermektedir. Bazı geçici çözümler mevcuttur. Mevcut e-posta şablonlarını şüpheli Twig ifadelerine karşı denetleyin, tüm yönetici ve müşteri API belirteçlerini yenileyin ve/veya GHSA-78x5-c8gw-8279 ile zincirleme saldırıları azaltmak için ters proxy/WAF üzerinden /api/system/* adresine olan harici erişimi engelleyin.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FOSSBilling FOSSBilling | < 0.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.