PT-2026-52090 · Unknown · Fossbilling
CVE-2026-33543
·
Publicado
2026-06-24
·
Atualizado
2026-06-25
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
FOSSBilling versões anteriores a 0.8.0
Description
O FOSSBilling expõe um endpoint de API de convidado '/api/guest/staff/create' destinado ao bootstrap inicial do administrador. Uma verificação de guarda falha usando a função
is countable() em um valor que retorna um objeto Model Admin ou nulo faz com que a verificação seja sempre avaliada como verdadeira. Isso permite que um invasor ignore a verificação de existência do administrador e crie uma nova conta de administrador, concedendo-lhe uma sessão de administrador com privilégios totais, mesmo que já exista um administrador.Recommendations
Atualize para a versão 0.8.0.
Como medida paliativa temporária, restrinja o acesso ao endpoint de API '/api/guest/staff/create'.
Exploit
Correção
Authentication Bypass Using an Alternate Path or Channel
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Fossbilling