CVE-2026-112374

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões anteriores a 0.8.9

Descrição Um problema de Cross-Site Request Forgery (CSRF) existe no endpoint de login de convidado da equipe 'POST /api/guest/staff/login'. Isso ocorre porque a função checkGuestClientAuthentication() apenas permite client login e client create, deixando o staff login sem validação de CSRF ou Origin. Um invasor remoto pode usar um formulário HTML de envio automático com credenciais controladas para autenticar silenciosamente o navegador de uma vítima na conta de equipe do invasor.

Recomendações Atualize o FOSSBilling para a versão 0.8.9 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'POST /api/guest/staff/login'.