CVE-2026-27604

总结

FOSSBilling 是一个免费、开源的计费与客户管理系统。从版本 0.5.4 开始至 0.8.0 之前，API 角色处理中存在授权绕过漏洞，允许未经身份验证访问特权 `/api/system/*` 端点。由于 `system` 解析为 cron 管理员身份，攻击者无需有效凭据、会话或 CSRF 令牌即可调用管理员 API 方法。版本 0.8.0 修复了该问题。有一些可用的临时缓解措施。在反向代理/WAF 处阻止对 `/api/system/*` 的外部访问，仅允许受信任的源 IP 访问 API（`api.allowed_ips`），立即轮换所有管理员/客户端 API 令牌，使活动会话失效并重置高权限凭据，和/或审查 API 请求日志中可疑的 `/api/system/` 访问并将其视为潜在安全事件。

• CVE-2026-28496PoC

  Docker 实验环境，复现 FOSSBilling 预认证 RCE 利用链（CVE-2026-27604 认证绕过 + CVE-2026-28496 Twig SSTI），包含 Python PoC 和已修补的对比目标。