PT-2026-56028 · Unknown · Fossbilling

Dilipmallavarapu · Publicado 2026-07-06 · Atualizado 2026-07-06 · CVE-2026-43921

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.9

Alta

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Nome do Software Vulnerável e Versões Afetadas FOSSBilling versões 0.6.10 through 0.7.2

Description Existe um problema no método Config::prettyPrintArrayToPHP() onde valores de string são gravados no arquivo config.php sem a neutralização de aspas simples durante a atualização de configurações. Como o config.php é carregado via include em cada requisição HTTP, um invasor com privilégios de administrador pode injetar código PHP arbitrário que será executado em todas as requisições subsequentes.

Recommendations Atualize para a versão 0.8.0. Restrinja o acesso administrativo apenas a pessoal confiável. Audite o arquivo config.php em busca de código PHP inesperado. Restrinja o acesso aos endpoints de API administrativa que modificam configurações no nível do proxy reverso ou WAF.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-43921

Produtos afetados

Fossbilling

Referências · 4

• https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-v4j9-w6pj-38w5 · Nota
• https://twitter.com/CVEnew/status/2074257024725271036 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2074258553683025949 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-43921 · Nota de Segurança