CVE-2026-40495

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões anteriores a 0.8.0

Descrição O FOSSBilling vaza a versão exata do sistema através de parâmetros de cache buster de ativos na saída HTML, ignorando a configuração de segurança hide version public. A versão é incorporada na string de consulta de cada tag <script> e <link> gerada pelos filtros Twig script tag e stylesheet tag. Esta informação está visível para todos os visitantes, incluindo convidados não autenticados, em todas as páginas. Embora o cabeçalho HTTP X-FOSSBilling-Version e o endpoint de API guest.system.version respeitem corretamente a configuração de segurança, os parâmetros de cache buster de ativos não o fazem. Esta exposição facilita o reconhecimento, permitindo que agentes identifiquem problemas conhecidos aplicáveis a uma instalação específica.

Recomendações Atualizar para a versão 0.8.0.