CVE-2026-111056

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões 0.1.0 through 0.8.6

Description O endpoint não autenticado "/api/guest/client/create" revela se um e-mail enviado pertence a um cliente registrado. Isso ocorre porque o processo de cadastro de convidado retorna uma mensagem de erro distinta e não redigida quando o e-mail enviado já existe no sistema. O problema é desencadeado por uma requisição não autenticada ao endpoint "/api/guest/client/create" com um endereço de e-mail alvo. Tecnicamente, a função BoxModClientApiGuest::create retorna um erro após ClientService::clientAlreadyExists encontrar um registro correspondente, e a resposta da API expõe essa mensagem de exceção sem redação.

Recommendations Atualizar para a versão 0.8.7.