FOSSBilling: перечисление аккаунтов клиентов без аутентификации (CVE-2026-111056)
В FOSSBilling до версии 0.8.7 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику определить, зарегистрирован ли конкретный email в системе. Проблема связана с эндпоинтом гостевой регистрации, который возвращает неизменённое сообщение об ошибке при существующем адресе. Уязвимость оценена как средняя (CVSS 6.9).
Подробности
Уязвимость затрагивает продукт FOSSBilling — платформу биллинга и клиентского менеджмента. ОбработчикBox\Mod\Client\Api\Guest::create при обработке неаутентифицированного запроса POST /api/guest/client/create вызывает метод Client\Service::clientAlreadyExists. Если переданный email уже принадлежит зарегистрированному клиенту, генерируется исключение, сообщение которого возвращается в ответе API без какой-либо редакции (redaction). Таким образом, сравнивая ответы эндпоинта для разных адресов, атакующий может достоверно определить, зарегистрирован ли конкретный email в системе.
Тип уязвимости — раскрытие информации (CWE-204: Observable Response Discrepancy), приводящее к перечислению аккаунтов клиентов (client account enumeration). Атака не требует аутентификации, что снижает порог её эксплуатации. Уязвимости присвоен базовый балл CVSS 6.9, что соответствует среднему уровню критичности. Проблема исправлена в версии 0.8.7.
Что делать
Рекомендуется обновить FOSSBilling до версии 0.8.7 или более поздней, где сообщение об ошибке при гостевой регистрации больше не раскрывает факт существования клиента. Если немедленное обновление невозможно, следует рассмотреть митигации: ограничить доступ к эндпоинту/api/guest/client/create на уровне WAF или reverse-proxy, включить rate limiting и мониторинг аномально частых запросов к гостевой регистрации с перебором адресов, а также проверить конфигурацию логирования ответов API, чтобы избежать дополнительного раскрытия сведений. Дополнительно стоит оценить необходимость гостевой регистрации в вашем сценарии использования и при отсутствии потребности отключить соответствующий функционал.
Итог
CVE-2026-111056 — типичный пример информационной утечки через различия в ответах API: даже отсутствие прямого доступа к данным не мешает злоумышленнику собирать сведения о клиентской базе. Перечисление аккаунтов само по себе не ведёт к компрометации, но создаёт основу для целевого фишинга и подбора учётных данных. Владельцам инсталляций FOSSBilling рекомендуется как можно скорее перейти на версию 0.8.7 и усилить контроль обращений к публичным эндпоинтам.Источник: CVE Project (cvelistV5)