Уязвимость в InstantSoft icms2 Billing: недостаточная проверка подлинности платежных данных (CVE-2026-108568)
В модуле Billing системы InstantSoft icms2 (до версии 2.18.2 включительно) обнаружена уязвимость недостаточной проверки подлинности данных в функции validatePaypalOrder. Атаку можно провести удаленно, эксплойт уже опубликован публично. Уровень опасности по CVSS — 5.3 (MEDIUM).
Подробности
Уязвимости подвержены версии InstantSoft icms2 вплоть до 2.18.2 включительно. Проблема локализована в функции validatePaypalOrder файла system/controllers/billing/actions/paypal.php, входящего в состав компонента Billing Module. Суть уязвимости — недостаточная проверка подлинности данных (CWE-345, Insufficient Verification of Data Authenticity). При манипуляции аргументами bid и sig злоумышленник может обойти логику валидации заказа PayPal, поскольку приложение не выполняет достаточную проверку целостности и происхождения передаваемых параметров. Согласно вектору CVSS, уязвимость оценена в 5.3 балла (MEDIUM). Атака может быть проведена удаленно, без необходимости физического доступа к системе. Важно отметить, что эксплойт уже был публично раскрыт и может быть использован на практике — это существенно повышает риск для непропатченных установок. Разработчик был уведомлен об уязвимости на раннем этапе раскрытия, однако, согласно записи CVE, не ответил каким-либо образом. Это означает, что официальное исправление на момент публикации может отсутствовать.Что делать
Поскольку вендор не отреагировал на уведомление, следует исходить из того, что патча может не быть. Рекомендуется следующий комплекс мер:- Проверить фактические версии icms2 на всех инсталляциях и убедиться, используются ли модуль Billing и интеграция с PayPal.
- Отслеживать официальные каналы InstantSoft на предмет возможного выпуска исправления или рекомендаций.
- Если функциональность PayPal не востребована — временно отключить соответствующий обработчик платежей до появления патча.
- Усилить мониторинг подозрительной активности в модуле Billing: аномальные запросы к paypal.php, необычные значения параметров bid/sig, повторяющиеся или некорректные транзакции.
- Ограничить сетевой доступ к административной и платежной части CMS на уровне WAF и правил reverse proxy, а также ввести дополнительную серверную валидацию параметров заказа.
- При наличии возможности — рассмотреть временное отключение или изоляцию уязвимого компонента до выпуска исправления.
Итог
CVE-2026-108568 — умеренно опасная, но уже публично эксплуатируемая уязвимость в модуле Billing CMS InstantSoft icms2. Отсутствие ответа вендора и наличие публичного эксплойта делают ситуацию требующей оперативной реакции со стороны администраторов, использующих интеграцию с PayPal. Наиболее надежный путь — минимизировать поверхность атаки и внимательно следить за обновлениями от разработчика.Источник: CVE Project (cvelistV5)