CVE-2026-27604: FOSSBilling: Unsachgemäße API-Rollenvalidierung (system) ermöglicht unauthentifizierten Zugriff auf privilegierte Admin-Funktionen | Kitploit

CVE-2026-27604

KritischVeröffentlicht

FOSSBilling: Unsachgemäße API-Rollenvalidierung (system) ermöglicht unauthentifizierten Zugriff auf privilegierte Admin-Funktionen

Veröffentlicht: 23.06.2026
Aktualisiert: 23.06.2026
CNA zuweisen: GitHub_M
Beweise beobachtet: 10.09.2026

Primäres CVSS

10,0/ 10Kritisch

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS-Wahrscheinlichkeitsschätzung

0,5 %

Niedrig · nächste 30 Tage

Perzentil: 42,3 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

FOSSBilling ist ein kostenloses, quelloffenes Abrechnungs- und Kundenverwaltungssystem. Ab Version 0.5.4 und vor Version 0.8.0 ermöglicht eine Umgehung der Autorisierung in der API-Rollenverwaltung unauthentifizierten Zugriff auf privilegierte `/api/system/*`-Endpunkte. Da `system` auf die Cron-Admin-Identität aufgelöst wird, können Angreifer Admin-API-Methoden ohne gültige Anmeldedaten, Sitzung oder CSRF-Token aufrufen. Version 0.8.0 behebt das Problem. Es sind einige Problemumgehungen verfügbar. Blockieren Sie den externen Zugriff auf `/api/system/*` am Reverse-Proxy/WAF, beschränken Sie den API-Zugriff auf vertrauenswürdige Quell-IPs (`api.allowed_ips`), rotieren Sie sofort alle Admin-/Client-API-Token, invalidieren Sie aktive Sitzungen und setzen Sie hochprivilegierte Anmeldedaten zurück und/oder überprüfen Sie API-Anfrageprotokolle auf verdächtige `/api/system/`-Zugriffe und behandeln Sie diese als potenziellen Vorfall.

Quellen

CVE-2026-28496PoC
Docker-Lab zur Reproduktion der FOSSBilling-Pre-Auth-RCE-Kette (CVE-2026-27604 Auth-Bypass + CVE-2026-28496 Twig SSTI) mit einem Python-PoC und einem gepatchten Vergleichsziel.

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.