FOSSBilling's missing order-state validation allows clients to read and reset API key secrets for non-active orders

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• FOSSBilling FOSSBilling

  • >= 0.5.3, < 0.8.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-27604FOSSBilling: Improper API Role Validation (system) Enables Unauthenticated Access to Privileged Admin Functions
  40В плане
• CVE-2023-4005Insufficient Session Expiration in fossbilling/fossbilling
  39Наблюдать
• CVE-2023-3490SQL Injection in fossbilling/fossbilling
  39Наблюдать
• CVE-2026-28496FOSSBilling: Server-side template injection in Twig template rendering enables information disclosure and RCE
  38Наблюдать
• CVE-2026-33543FOSSBilling: Authentication bypass allows unauthenticated administrator creation
  37Наблюдать
• CVE-2026-42341FOSSBilling has an unauthenticated payment bypass via IPN callback forgery
  36Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.