CVE-2026-27604

概要

FOSSBillingは無料のオープンソース請求・クライアント管理システムです。バージョン0.5.4から0.8.0より前のバージョンにおいて、APIロール処理の認可バイパスにより、認証されていない攻撃者が特権的な`/api/system/*`エンドポイントへアクセスできる脆弱性が存在します。`system`はcron管理者IDに解決されるため、攻撃者は有効な認証情報、セッション、CSRFトークンなしで管理者APIメソッドを呼び出すことができます。バージョン0.8.0でこの問題は修正されています。いくつかの回避策が利用可能です。リバースプロキシ/WAFで`/api/system/*`への外部アクセスをブロックする、信頼できる送信元IPのみにAPIアクセスを制限する（`api.allowed_ips`）、すべての管理者/クライアントAPIトークンを直ちにローテーションする、アクティブなセッションを無効化し高権限の認証情報をリセットする、および/またはAPIリクエストログで不審な`/api/system/`アクセスを確認し潜在的なインシデントとして扱うことです。

• CVE-2026-28496PoC

  FOSSBillingの認証前RCEチェーン（CVE-2026-27604認証バイパス + CVE-2026-28496 Twig SSTI）を再現するDockerラボ。Python PoCとパッチ適用済みの比較対象を含む。