CVE-2026-43926

FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. Versiyon 0.8.0 öncesinde, `/client/reset-password-confirm/:hash` şifre sıfırlama onay uç noktası API olmayan bir denetleyici tarafından işlenmektedir ve yalnızca `/api/*` rotalarına uygulanan FOSSBilling hız sınırlayıcısı kapsamında değildir. Bu durum, bir saldırganın IP başına istek sınırlaması, deneme sayacı veya kilitleme mekanizması olmaksızın geçerli sıfırlama belirteçlerini tespit etmek için uç noktayı sorgulamasına olanak tanır. Uç nokta; geçerli ve geçersiz belirteçler için farklı yanıtlar döndürerek (HTTP 200'e karşı HTTP 302 yönlendirmesi) bir oracle görevi görür. Bir saldırgan, herhangi bir kısıtlama uygulanmadan şifre sıfırlama onay uç noktasına sınırsız sayıda belirteç tahmini gönderebilir. Ancak, pratik olarak istismar edilebilirlik, 256 bit entropi sağlayan `hash('sha256', random_bytes(32))` kullanan mevcut belirteç üretimi ile önemli ölçüde azaltılmıştır. Belirteçler ayrıca 15 dakika sonra sona ermekte ve başarılı kullanımdan sonra silinmektedir. Aynı mimari boşluk, `/staff/email/:hash` (yönetici şifre sıfırlama onayı) ve `/client/confirm-email/:hash` (e-posta onayı) dahil olmak üzere denetleyici tarafından sunulan diğer kimlik doğrulama rotaları için de geçerlidir. Versiyon 0.8.0 bu sorunu düzeltir. Bazı geçici çözümler mevcuttur. `/client/reset-password-confirm/*` ve `/staff/email/*` yollarına IP başına hız sınırlaması uygulamak için bir ters proxy (örneğin Nginx, Apache, Cloudflare) yapılandırın ve/veya bu uç noktalara gelen istek hızlarını sınırlamak için bir WAF kuralı kullanın.