CVE-2026-53647

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões 0.5.3 through 0.7.2

Description O endpoint de API Guest serviceapikey/get info está acessível sem autenticação. Qualquer pessoa com uma chave de API válida pode recuperar todos os parâmetros de configuração personalizados, especificamente os campos custom *, armazenados no registro do banco de dados da chave. Esses campos são preenchidos por administradores de faturamento e podem conter dados empresariais sensíveis, como níveis de preços, sinalizadores de recursos (feature flags), limites de taxa, anulações de expiração ou dados de escopo de acesso.

Recommendations Atualize para a versão 0.8.0. Evite armazenar dados sensíveis nos campos de configuração de chave de API custom *. Monitore os logs da API para chamadas suspeitas ao endpoint /api/guest/serviceapikey/get info. Desative o módulo Serviceapikey se não estiver em uso ativo.