CVE-2026-42331

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões anteriores a 0.8.0

Description O endpoint 'invoice/update' da Guest API carece de uma verificação de autorização. Isso permite que um usuário não autenticado que possua um hash de fatura modifique o gateway de pagamento de uma fatura não paga, alterando a variável gateway id para qualquer gateway de pagamento já configurado no sistema. Os hashes de fatura podem ser expostos por meio de links de e-mail, cabeçalhos de referência ou URLs compartilhadas. O impacto é limitado pela configuração do sistema invoice accessible from hash e pela exigência de que o gateway já tenha sido instalado por um administrador.

Recommendations Atualize para a versão 0.8.0.