CVE-2026-53641
Açıklama
FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. 0.6.0 ile 0.7.2 arasındaki sürümlerde, FOSSBilling'in müşteriye yönelik e-posta geçmişi görünümlerinde saklanan siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. E-posta HTML içeriği (`content_html`), `|raw` filtresi kullanılarak bir JavaScript şablon dizisine aktarılmakta ve tüm çıktı kaçış işlemleri atlanmaktadır. Yönetici erişimine sahip bir saldırgan, e-posta içeriğine, e-posta geçmişini görüntüleyen herhangi bir müşterinin tarayıcısında çalışacak kötü amaçlı JavaScript yükleri yerleştirebilir. 0.8.0 sürümü bir düzeltme içermektedir. Bazı geçici çözümler mevcuttur: yönetici hesap erişimini kısıtlayın, veritabanındaki e-posta içeriklerini şüpheli yükler için denetleyin ve/veya müşteri hesaplarını olağandışı etkinliklere karşı izleyin.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FOSSBilling FOSSBilling | >= 0.6.0, < 0.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.