- Son 7 gün
- CWE-79
CVE-2026-111048
FOSSBilling destek talebi notlarında depolanmış XSS açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Düşük yetkili bir personel hesabı, yöneticilerin tarayıcılarında zararlı kod çalıştırarak yönetici hesaplarını ele geçirmeye ve müşteri ile fatura verilerine erişmeye yol açabilir. Bu, müşteri gizliliği ve finansal güven açısından yüksek bir risktir. Sistemi kullanan ekibin güncellemeyi öncelikli olarak yapması önerilir.
ÖzetTürkçe
FOSSBilling, açık kaynaklı bir faturalandırma ve müşteri yönetim platformudur. 0.1.0 ile 0.8.9 arasındaki sürümlerde, destek talebi notu oluşturma işlemi notu temizlemeden veritabanına kaydetmekte ve yönetici destek talebi listesinde bu notlar innerHTML ile işlenmektedir. Yalnızca destek talebi yönetimi yetkisine sahip bir personel üyesi, başka bir personel üyesi notları görüntülediğinde çalışacak HTML veya JavaScript kodu kaydedebilir. Talep detay sayfası bu açıktan etkilenmemektedir.
Saldırgan ne yapabilir?
Saldırgan, kodu görüntüleyen personelin oturumu ve yetkileriyle çalıştırabilir; CSRF belirteci ve erişilebilen müşteri ve fatura verilerini okuyabilir, Süper Yönetici dahil görüntüleyenin yapabildiği yönetimsel işlemleri gerçekleştirebilir.
Kaynaktaki açıklama (İngilizce)
FOSSBilling is an open source billing and client-management platform. From 0.1.0 until 0.8.9, the admin/support/note_create endpoint stores the note parameter without sanitization in the support_ticket_note table, and src/modules/Support/templates/admin/mod_support_tickets.html.twig renders each stored support ticket note through innerHTML in the admin ticket list. A staff user with only the support.manage_tickets permission can store HTML or JavaScript that executes when another staff member opens the ticket notes. The script runs with the viewing staff member's session and privileges, can read a CSRF token and accessible client or invoice data, and can perform administrative actions available to the viewer, including a Super Administrator. The ticket detail page is not affected because its Twig rendering uses autoescaping. This issue is fixed in version 0.8.9.
Ne yapmalı?
- FOSSBilling'i 0.8.9 veya sonraki bir sürüme güncelleyin. Genel öneri
- Güncelleme öncesinde, personelin destek talebi notlarında şüpheli HTML veya betik içeren kayıtları veritabanında inceleyin ve gerekirse temizleyin. Genel öneri
- Güncellemeden sonra yönetici ve personel oturumlarını yenileyin ve şüpheli yönetici işlemleri için denetim kayıtlarını kontrol edin. Genel öneri
Ek önlemler
- Destek talebi yönetimi yetkisini yalnızca gerçekten ihtiyaç duyan personele verin ve yetki atamalarını düzenli olarak gözden geçirin. Genel öneri
- Yönetici hesaplarını Süper Yönetici yetkisi gerektirmeyen işlemler için ayrı tutun ve günlük işler için daha az yetkili hesaplar kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| FOSSBilling | Sürüm belirtilmemiş | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.