0Xcan1337

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.4 até 0.7.x **Descrição** Uma falha de bypass de autorização no tratamento de funções da API permite acesso não autenticado a endpoints privilegiados '/api/system/*'. Como `system` é resolvido para a identidade do administrador do cron, invasores podem invocar métodos de API de administrador sem a necessidade de credenciais válidas, sessão ou token CSRF. **Recomendações** Atualizar para a versão 0.8.0. Bloquear o acesso externo a '/api/system/*' no proxy reverso ou Web Application Firewall (WAF). Restringir o acesso à API apenas a IPs de origem confiáveis utilizando a configuração `api.allowed ips`. Rotacionar todos os tokens de API de administradores e clientes imediatamente. Invalidar sessões ativas e redefinir credenciais de alto privilégio. Revisar os logs de requisições da API em busca de acessos suspeitos a '/api/system/'.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Description** Um problema de Server-Side Template Injection (SSTI) existe no sistema de renderização de templates. Administradores com acesso a recursos que renderizam templates Twig — como templates de e-mail, campanhas de e-mail em massa, adaptadores de pagamento personalizados e o endpoint de API `string render` — podem injetar expressões Twig arbitrárias. Isso ocorre porque os templates Twig são renderizados sem um sandbox, concedendo acesso ao ambiente Twig completo, ao contexto da API e ao container de injeção de dependência da aplicação, o que pode levar à divulgação de informações e execução remota de código. A exploração no mundo real foi observada em campanhas direcionadas. **Recommendations** Atualizar para a versão 0.8.0. Auditar templates de e-mail existentes em busca de expressões Twig suspeitas. Rotacionar todos os tokens de API de administradores e clientes. Bloquear o acesso externo ao endpoint `/api/system/*` no proxy reverso ou WAF.