PT-2026-56010 · Unknown · Fossbilling
CVSS v4.0
9.2
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N |
Nome do Software Vulnerável e Versões Afetadas
FOSSBilling versões 0.6.0 through 0.7.2
Description
Existe uma falha de bypass de pagamento não autenticado no endpoint de callback IPN
/ipn.php. Quando o adaptador de pagamento Custom está habilitado, um invasor pode marcar qualquer fatura não paga como paga e creditar a conta do cliente associado sem realizar um pagamento real, enviando uma única requisição HTTP manipulada.Recommendations
Atualizar para a versão 0.8.0.
Desativar o gateway de pagamento Custom se não for ativamente necessário.
Restringir o acesso ao endpoint
/ipn.php no nível do servidor web utilizando lista de permissões de IP.Exploit
Correção
Origin Validation Error
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Fossbilling