CVE-2026-53648

FOSSBilling ücretsiz ve açık kaynaklı bir faturalandırma ve müşteri yönetim sistemidir. Versiyon 0.8.1 öncesinde, indirilebilir ürün dosyaları deterministik bir dosya adı türetimli yol kullanılarak saklanmaktadır. Bir yönetici indirilebilir bir ürün için dosya yüklediğinde, FOSSBilling dosyayı uploads dizini altında `md5(<orijinal dosya adı>)` şeklinde saklar. Saklanan yol yalnızca istemci tarafından sağlanan dosya adına bağlı olduğundan, aynı orijinal dosya adıyla yüklenen iki farklı indirilebilir ürün veya ürün/sipariş dosyası aynı saklama dosyası yoluna çözümlenecektir. Daha sonra yapılan bir yükleme, önceki bir yüklemenin üzerine yazabilir; bu durum, önceki ürünü indiren müşterilerin veya yöneticilerin bunun yerine daha sonraki dosyayı almasına neden olur. Versiyon 0.8.1 bu sorunu gidermektedir. Bazı geçici çözümler mevcuttur. `servicedownloadable.manage` iznini yalnızca tam güvenilir yöneticilerle sınırlandırın. Operasyonel bir hafifletme önlemi olarak, indirilebilir ürün dosyalarının yüklemeden önce benzersiz dosya adları kullandığından emin olun. Bu, yanlışlıkla meydana gelen çakışmaları azaltır ancak temel sorunu tamamen çözmez.