CVE-2026-27708

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões anteriores a 0.8.0

Description O método call() da API Servicecustom Client aceita o parâmetro order id e recupera o pedido associado sem verificar se o cliente autenticado é o proprietário do mesmo. Isso permite que um cliente autenticado acesse serviços personalizados de outros clientes ao adivinhar IDs de pedido sequenciais através de uma Referência Direta Insegura a Objetos (IDOR), que é uma falha onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Isso pode resultar em uma quebra de confidencialidade, expondo informações de identificação pessoal (PII), como nome, e-mail, telefone, endereço, detalhes da empresa e número de VAT, além de dados de configuração do serviço.

Recommendations Atualizar para a versão 0.8.0.