CVE-2026-53644
Açıklama
FOS artık ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. 0.5.3 ile 0.7.2 arasındaki sürümler, kimliği doğrulanmış müşterilerin artık `active` durumda olmayan (örneğin; `suspended`, `canceled`) siparişler için API anahtarı servis sırlarını hem okumasına hem de sıfırlamasına izin vermektedir. Temel neden, `Serviceapikey` modülünde halihazırda bir `isActive()` yardımcı fonksiyonunun bulunmasına ve ön uç kullanıcı arayüzünün erişimi `order.status == 'active'` şeklinde doğru şekilde kısıtlamasına rağmen, iki müşteri API uç noktasında sipariş durumu doğrulamasının eksik olmasıdır. 0.8.0 sürümü bir düzeltme içermektedir. Bazı geçici çözümler mevcuttur. Eğer `Serviceapikey` modülüne ihtiyaç duyulmuyorsa, etkilenen uç noktaları kaldırmak için bu modülü kaldırın. Ayrıca uygulama düzeyindeki sipariş durumu mantığına göre `/api/client/order/service` ve `/api/client/serviceapikey/reset` adreslerine erişimi kısıtlamak için bir ters proxy veya WAF kullanılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| FOSSBilling FOSSBilling | >= 0.5.3, < 0.8.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.