CVE-2026-53646

FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. 0.5.6 ile 0.7.2 arasındaki sürümlerde, bir müşteri için halihazırda bir `ClientPasswordReset` kaydı mevcut olduğunda (önceki süresi dolmamış bir sıfırlama isteğinden gelen), `reset_password` misafir API uç noktasına yapılan sonraki çağrılar yeni bir jeton oluşturmak yerine mevcut olanı yeniden kullanır. 15 dakikalık geçerlilik penceresi, en son e-postanın gönderildiği zamana değil, ilk isteğin `created_at` zaman damgasına sabitlenmiştir. Orijinal sıfırlama bağlantısını ele geçiren bir saldırgan, orijinal jeton hiçbir zaman geçersiz kılınmadığı veya döndürülmediği için kurban yeni bir sıfırlama talep ettikten sonra bile bunu kullanmaya devam edebilir. Sürüm 0.8.0 bu sorunu gidermektedir. Bazı geçici çözümler mevcuttur. Fırsat penceresini minimize etmek için `/client/reset-password` uç noktasına IP başına hız sınırlaması uygulamak üzere bir ters proxy (örneğin Nginx, Apache, Cloudflare) yapılandırın ve/veya bir müşteri şüpheli bir ihlal bildirdikten sonra veritabanındaki süresi dolmuş `client_password_reset` kayıtlarını manuel olarak temizleyin.