CVE-2026-43920

FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. 0.5.4 ile 0.7.2 arasındaki sürümlerde, FOSSBilling'deki /run-patcher bakım uç noktasına kimlik doğrulaması olmadan erişilebiliyordu; bu durum, kimliği doğrulanmamış uzak kullanıcıların yapılandırma dosyalarını değiştiren, veritabanı şeması değişikliklerini yürüten, dosya sistemi mutasyonları gerçekleştiren ve önbellekleri temizleyen güncelleme yaması rutinlerini tetiklemesine izin veriyordu. /run-patcher uç noktası; yönetici kimlik doğrulaması, CSRF doğrulaması veya CLI bağlamı gerektirmeden ayrıcalıklı bakım işlemlerini (yapılandırma migrasyonları, ALTER TABLE, DROP TABLE, UPDATE ifadelerini içeren veritabanı yaması yürütme, dosya sistemi silme ve yeniden adlandırma işlemleri ile önbellek temizleme) gerçekleştirir. Kimliği doğrulanmamış bir uzak saldırgan, /run-patcher adresine basit bir HTTP GET isteği göndererek bu işlemleri tetikleyebilir ve bu durum hizmet reddi (DoS) saldırıları için kötüye kullanılabilir. Bazı yamalar (örneğin, yama 53'teki tüm yönetici ve müşteri hesapları için toplu jeton yenileme ve oturum geçersiz kılma), halihazırda yamalanmış bir örneğe karşı yeniden çalıştırıldığında bile yıkıcı etkilere sahiptir. Tekrarlanan veya eşzamanlı istekler ayrıca tutarsız veritabanı durumuna neden olabilir. Bu sorun 0.8.0 sürümünde düzeltilmiştir.