PT-2026-117479 · Unknown · Fossbilling
CVE-2026-111056
·
تاريخ النشر
2026-10-19
·
تاريخ التحديث
2026-10-19
CVSS v4.0
6.9
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
FOSSBilling الإصدارات من 0.1.0 إلى 0.8.6
Description
يكشف نقطة النهاية غير المصرح بها "/api/guest/client/create" عما إذا كان البريد الإلكتروني المرسل ينتمي إلى عميل مسجل. يحدث هذا لأن عملية تسجيل الضيف تعيد رسالة خطأ مميزة وغير منقحة عندما يكون البريد الإلكتروني المرسل موجودًا بالفعل في النظام. يتم تحفيز هذه المشكلة من خلال طلب غير مصرح به إلى نقطة النهاية "/api/guest/client/create" باستخدام عنوان بريد إلكتروني مستهدف. من الناحية الفنية، تعيد الدالة
BoxModClientApiGuest::create خطأً بعد أن تجد ClientService::clientAlreadyExists سجلاً مطابقاً، وتقوم استجابة واجهة برمجة التطبيقات (API) بكشف رسالة الاستثناء هذه دون تنقيح.Recommendations
التحديث إلى الإصدار 0.8.7.
استغلال
إصلاح
Improper Restriction of Excessive Authentication Attempts
Information Disclosure
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Fossbilling