CVE-2026-42331
Açıklama
FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. Versiyon 0.8.0 öncesinde, Guest API invoice/update uç noktası diğer fatura ile ilgili uç noktalarda bulunan yetkilendirme kontrolünden yoksundur; bu durum, bir fatura özetine (hash) sahip olan kimliği doğrulanmamış bir kullanıcının, ödenmemiş bir fatura ile ilişkili ödeme ağ geçidini değiştirmesine olanak tanır. Paylaşılan URL'ler, yönlendirici (referrer) üstbilgileri veya e-posta bağlantıları aracılığıyla sızabilecek bir fatura özetini elde eden saldırgan, ödenmemiş bir faturadaki `gateway_id` değerini sistemde yapılandırılmış herhangi bir ödeme ağ geçidiyle değiştirebilir. Ağ geçidinin halihazırda bir yönetici tarafından kurulmuş ve yapılandırılmış olması gerektiğinden, bu durum ödemelerin rastgele harici bir uç noktaya yönlendirilmesine izin vermez. Pratik etki, `invoice_accessible_from_hash` sistem ayarı ile daha da sınırlandırılmıştır. Versiyon 0.8.0 bir yama içermektedir. Bilinen bir geçici çözüm mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FOSSBilling FOSSBilling | < 0.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.