CVE-2026-53647

요약

FOSSBilling은 무료 오픈소스 청구 및 고객 관리 시스템입니다. 0.5.3부터 0.7.2까지의 버전에서 Guest `serviceapikey/get_info` API 엔드포인트는 인증 없이 접근할 수 있습니다. 유효한 API 키를 가진 모든 호출자는 키의 데이터베이스 레코드에 저장된 모든 사용자 정의 구성 매개변수(`custom_*` 필드)를 검색할 수 있습니다. 이러한 사용자 정의 필드는 청구 관리자가 입력하며 가격 등급, 기능 플래그, 레이트 리밋, 만료 기한 재정의 또는 접근 범위 데이터와 같은 비즈니스에 민감한 데이터를 포함할 수 있습니다. 0.8.0 버전에서 이 문제가 패치되었습니다. 몇 가지 해결 방법도 있습니다. 관리자는 `custom_*` API 키 구성 필드에 민감한 데이터를 저장하지 않고, `/api/guest/serviceapikey/get_info`에 대한 의심스러운 호출이 있는지 API 로그를 모니터링하고, Serviceapikey 모듈이 활발히 사용되지 않는 경우 비활성화할 수 있습니다.

• FOSKillerPoC

  FOSSBilling CVE-2026-53647 & CVE-2026-53646 PoC — 인증되지 않은 API 키 노출 및 비밀번호 재설정 토큰 재사용