PT-2026-56042
CVE-2026-53647
·
تاريخ النشر
2026-07-06
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات FOSSBilling من 0.5.3 إلى 0.7.2
الوصف
يمكن الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بالضيف
serviceapikey/get info دون مصادقة. يمكن للمهاجم الذي يمتلك مفتاح API صالحًا استرداد جميع معلمات التكوين المخصصة، وتحديدًا الحقول custom *، المخزنة في سجل قاعدة البيانات المرتبط بهذا المفتاح. تدير الإدارة هذه الحقول وقد تحتوي على معلومات تجارية حساسة، بما في ذلك مستويات التسعير، وعلامات الميزات، وحدود المعدلات، وتجاوزات انتهاء الصلاحية، أو بيانات نطاق الوصول.التوصيات
قم بالتحديث إلى الإصدار 0.8.0.
تجنب تخزين البيانات الحساسة في حقول تكوين مفتاح واجهة برمجة التطبيقات
custom *.راقب سجلات واجهة برمجة التطبيقات (API) بحثًا عن أي استدعاءات مشبوهة لنقطة النهاية
/api/guest/serviceapikey/get info.قم بتعطيل وحدة Serviceapikey إذا لم تكن قيد الاستخدام الفعلي.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾