CVE-2026-53646

概要

FOSSBillingは、無料のオープンソースの請求・クライアント管理システムです。バージョン0.5.6から0.7.2において、クライアントに対して`ClientPasswordReset`レコードが既に存在する場合（以前の未期限切れのリセットリクエストによる）、その後の`reset_password`ゲストAPIエンドポイントへの呼び出しでは、新しいトークンを生成せずに既存のトークンが再利用されます。15分間の有効期限ウィンドウは、最初のリクエストの`created_at`タイムスタンプに基づいており、最新のメールの時刻ではありません。攻撃者が元のリセットリンクを入手した場合、被害者が新しいリセットを要求した後でも、元のトークンは無効化もローテーションもされないため、そのリンクを使用し続けることができます。バージョン0.8.0でこの問題は修正されています。いくつかの回避策が利用可能です。リバースプロキシ（例：Nginx、Apache、Cloudflare）を構成して`/client/reset-password`エンドポイントにIPごとのレート制限を適用し、攻撃機会の時間枠を最小限に抑えるか、および/またはクライアントが不正利用の疑いを報告した後、データベースから期限切れの`client_password_reset`レコードを手動で削除します。

• FOSKillerPoC

  FOSSBilling CVE-2026-53647 & CVE-2026-53646 PoC — 未認証のAPIキー開示とパスワードリセットトークンの再利用