FOSSBilling before 0.8.9 Login CSRF via Staff Guest Login API

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

FOSSBilling before 0.8.9 contains a Cross-Site Request Forgery vulnerability in the staff guest login endpoint (POST /api/guest/staff/login) that allows remote attackers to force authentication because checkGuestClientAuthentication() only allowlists client_login and client_create, leaving staff_login without CSRF or Origin validation. Attackers can host an auto-submitting HTML form with attacker-controlled credentials to silently log a victim's browser into the attacker's staff account.

Etkilenen sürümler1 yazılım

Kaynaklar5 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…illing/security/advisories/GHSA-h7w3-wp25-gf86 Üretici bülteni
• github.com/FOSSBilling/FOSSBilling/releases/tag/0.8.9 Yama
• vulncheck.com/…ng-before-login-csrf-via-staff-guest-login-api Üçüncü taraf

Kayıt geçmişi

1. 30 Eki 2026 15:10Yayımlandı

İlgili açıklar

• 5,9 CVE-2026-120206Thelia before 3.2.0 Back-Office CSRF via URL Token and Unprotected Actions
• 7,1 CVE-2026-120207Thelia Page Module before 2.0.4 CSRF via Page Tag, Document and Image Delete Routes
• 10,0 CVE-2026-61826Bazarr Plex OAuth API uç noktaları kimlik doğrulamasız erişime açık
• 5,4 CVE-2026-119466WordPress APIExperts Square for WooCommerce plugin <= 4.7.5 - Cross Site Request Forgery (CSRF) vulnerability
• 8,8 CVE-2026-65566AI Engine WordPress eklentisinde CSRF açığı (3.8.8 ve öncesi)
• 6,5 CVE-2026-45141Chamilo LMS: CSRF in destructive skill-management AJAX actions