CVE-2026-53647: FOSSBilling vulnerabile alla divulgazione non autenticata della configurazione della chiave API tramite l'endpoint guest Serviceapikey get_info | Kitploit

CVE-2026-53647

MedioPubblicato

FOSSBilling vulnerabile alla divulgazione non autenticata della configurazione della chiave API tramite l'endpoint guest Serviceapikey get_info

Pubblicato: 6 lug 2026
Aggiornato: 7 lug 2026
Assegnazione CNA: GitHub_M
Evidenza osservata: 8 ago 2026

CVSS primario

6,9/ 10Medio

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Stima della probabilità EPSS

0,5%

Basso · prossimi 30 giorni

Percentile: 44,3%
Data del modello: 21 set 2026

L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.

Riepilogo

FOSSBilling è un sistema di fatturazione e gestione clienti gratuito e open-source. Nelle versioni 0.5.3 fino alla 0.7.2, l'endpoint API Guest `serviceapikey/get_info` è accessibile senza autenticazione. Qualsiasi chiamante con una chiave API valida può recuperare tutti i parametri di configurazione personalizzati (campi `custom_*`) memorizzati nel record del database della chiave. Questi campi personalizzati sono popolati dagli amministratori di fatturazione e possono contenere dati sensibili per l'attività come fasce di prezzo, flag di funzionalità, limiti di richiesta, override di scadenza o dati sull'ambito di accesso. La versione 0.8.0 corregge il problema. Sono disponibili alcune soluzioni alternative. Gli amministratori possono evitare di memorizzare dati sensibili nei campi di configurazione delle chiavi API `custom_*`, monitorare i log API per chiamate sospette a `/api/guest/serviceapikey/get_info` e/o disabilitare il modulo Serviceapikey se non è in uso attivo.

Fonti

FOSKillerPoC
FOSSBilling CVE-2026-53647 & CVE-2026-53646 PoC — Divulgazione non autenticata della chiave API e riutilizzo del token di reset della password

Utilizzo responsabile

Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.