CVE-2026-28496

ملخص

FOSSBilling هو نظام فوترة وإدارة عملاء مجاني ومفتوح المصدر. الإصدارات السابقة للإصدار 0.8.0 تحتوي على ثغرة حقن القوالب من جانب الخادم (SSTI) في نظام عرض القوالب. يمكن للمسؤولين الذين لديهم إمكانية الوصول إلى الميزات التي تعرض قوالب Twig (قوالب البريد الإلكتروني، حملات البريد الجماعي، محولات الدفع المخصصة، ونقطة نهاية واجهة برمجة التطبيقات `string_render`) حقن تعبيرات Twig عشوائية، مما يؤدي إلى كشف المعلومات وتنفيذ التعليمات البرمجية عن بُعد. توجد الثغرة لأن قوالب Twig يتم عرضها دون صندوق حماية (sandbox)، مما يسمح بالوصول إلى بيئة Twig الكاملة، وسياق واجهة برمجة التطبيقات، وحاوية حقن التبعيات الخاصة بالتطبيق. الإصدار 0.8.0 يعالج المشكلة. تتوفر بعض الحلول البديلة. قم بمراجعة قوالب البريد الإلكتروني الحالية بحثًا عن تعبيرات Twig مشبوهة، وقم بتدوير جميع رموز واجهة برمجة التطبيقات الخاصة بالمسؤولين والعملاء، و/أو قم بحظر الوصول الخارجي إلى /api/system/* في الخادم الوكيل العكسي/جدار الحماية للتطبيقات (WAF) للتخفيف من الربط مع GHSA-78x5-c8gw-8279.

• CVE-2026-28496-LabPoC

  مختبر قائم على Docker لإعادة إنتاج والتحقق من CVE-2026-28496، وهي ثغرة حقن قالب من جانب الخادم في عرض Twig الخاص بـ FOSSBilling، مع أهداف مقارنة معرضة ومصححة.

• CVE-2026-28496PoC

  مختبر Docker يعيد إنتاج سلسلة RCE قبل المصادقة في FOSSBilling (تجاوز المصادقة CVE-2026-27604 + Twig SSTI CVE-2026-28496) مع PoC بلغة Python وهدف مقارنة مُرقَّع.