7Megaumka7

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Description** O endpoint 'invoice/update' da Guest API carece de uma verificação de autorização. Isso permite que um usuário não autenticado que possua um hash de fatura modifique o gateway de pagamento de uma fatura não paga, alterando a variável `gateway id` para qualquer gateway de pagamento já configurado no sistema. Os hashes de fatura podem ser expostos por meio de links de e-mail, cabeçalhos de referência ou URLs compartilhadas. O impacto é limitado pela configuração do sistema `invoice accessible from hash` e pela exigência de que o gateway já tenha sido instalado por um administrador. **Recommendations** Atualize para a versão 0.8.0.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.6 through 0.7.2 **Description** Quando um registro `ClientPasswordReset` já existe para um cliente de uma solicitação anterior não expirada, chamadas subsequentes ao endpoint de API de convidado `reset password` reutilizam o token existente em vez de gerar um novo. A janela de validade de 15 minutos é baseada no timestamp `created at` da primeira solicitação, e não no e-mail mais recente. Isso permite que um invasor que obteve o link de redefinição original possa utilizá-lo mesmo depois que a vítima solicitar uma nova redefinição, pois o token original não é invalidado nem rotacionado. **Recommendations** Atualizar para a versão 0.8.0. Configurar um proxy reverso para aplicar a limitação de taxa por IP ao endpoint `/client/reset-password`. Limpar manualmente os registros `client password reset` expirados do banco de dados após um cliente relatar uma suspeita de comprometimento.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.3 through 0.7.2 **Description** O endpoint de API Guest `serviceapikey/get info` está acessível sem autenticação. Qualquer pessoa com uma chave de API válida pode recuperar todos os parâmetros de configuração personalizados, especificamente os campos `custom *`, armazenados no registro do banco de dados da chave. Esses campos são preenchidos por administradores de faturamento e podem conter dados empresariais sensíveis, como níveis de preços, sinalizadores de recursos (feature flags), limites de taxa, anulações de expiração ou dados de escopo de acesso. **Recommendations** Atualize para a versão 0.8.0. Evite armazenar dados sensíveis nos campos de configuração de chave de API `custom *`. Monitore os logs da API para chamadas suspeitas ao endpoint `/api/guest/serviceapikey/get info`. Desative o módulo Serviceapikey se não estiver em uso ativo.