Yagiz-Dev

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.4 through 0.7.2 **Description** O endpoint `/run-patcher` está acessível sem autenticação, permitindo que usuários remotos acionem operações de manutenção privilegiadas. Essas operações incluem migrações de configuração, alterações no esquema do banco de dados (como instruções `ALTER TABLE`, `DROP TABLE` e `UPDATE`), mutações de sistema de arquivos (exclusões e renomeações) e limpeza de cache. O endpoint carece de autenticação de administrador, validação CSRF e requisitos de contexto CLI. Um invasor pode acionar essas rotinas por meio de uma requisição HTTP GET para o endpoint `/run-patcher`, o que pode levar a ataques de negação de serviço, invalidação de sessão ou a um estado inconsistente do banco de dados devido a requisições repetidas ou simultâneas.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Descrição** O FOSSBilling vaza a versão exata do sistema através de parâmetros de cache buster de ativos na saída HTML, ignorando a configuração de segurança `hide version public`. A versão é incorporada na string de consulta de cada tag `<script>` e `<link>` gerada pelos filtros Twig `script tag` e `stylesheet tag`. Esta informação está visível para todos os visitantes, incluindo convidados não autenticados, em todas as páginas. Embora o cabeçalho HTTP `X-FOSSBilling-Version` e o endpoint de API `guest.system.version` respeitem corretamente a configuração de segurança, os parâmetros de cache buster de ativos não o fazem. Esta exposição facilita o reconhecimento, permitindo que agentes identifiquem problemas conhecidos aplicáveis a uma instalação específica. **Recomendações** Atualizar para a versão 0.8.0.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Description** Sessões autenticadas de contas de clientes, equipe ou administradores não são invalidadas quando a conta é suspensa ou marcada como inativa. Os carregadores de identidade de sessão em `src/di.php` (`loggedin client` e `loggedin admin`) apenas rejeitam sessões se o registro da conta não existir mais no banco de dados, falhando em verificar se o status da conta ainda está ativo. Isso permite que usuários desativados mantenham acesso total até que a sessão expire naturalmente. **Recommendations** Atualizar para a versão 0.8.0.