CVE-2026-27604: FOSSBilling: bypass de autorização expõe endpoints privilegiados de sistema da API
O FOSSBilling nas versões a partir de 0.5.4 e anteriores à 0.8.0 possui um bypass de autorização no tratamento de papéis da API que permite a requisições não autenticadas alcançar endpoints privilegiados /api/system/. A CNA do GitHub atribui pontuação base 10 pelo CVSS 4.0, e o registro indica que a versão 0.8.0 corrige o problema. Nas fontes consultadas não há exploração confirmada, e o registro mostra que o CVE não consta no catálogo KEV da CISA.
Visão geral
O FOSSBilling é um sistema gratuito e de código aberto para cobrança e gestão de clientes. O CVE-2026-27604 descreve um bypass de autorização no tratamento de papéis da API. Segundo o registro, a falha afeta versões a partir de 0.5.4 até antes de 0.8.0 e é corrigida na versão 0.8.0. A principal fonte consultada é a entrada no NVD.
Impacto
- Requisições não autenticadas podem alcançar endpoints privilegiados /api/system/*.
- Segundo o registro, esses endpoints resolvem para a identidade de administrador do cron, o que permite invocar métodos administrativos da API sem credenciais, sessão ou token CSRF.
- A CNA do GitHub atribui pontuação base 10 no CVSS 4.0, com alto impacto em confidencialidade, integridade e disponibilidade.
- A fraqueza mapeada no registro é a CWE-200, Exposição de Informações Sensíveis.
O registro não detalha quais dados ou ações são acessíveis por meio de cada endpoint.
Produtos e versões afetadas
- FOSSBilling a partir da versão 0.5.4 e anterior à versão 0.8.0.
- Os campos estruturados de produtos afetados e correções do registro estão vazios, portanto a faixa de versões vem do texto da descrição.
- A versão 0.8.0 é indicada como correção do problema.
Situação de exploração
O registro indica que este CVE não consta no catálogo KEV da CISA. Nas fontes consultadas não há indicação de exploração confirmada ou ativa. Dados de EPSS não estão disponíveis no registro.
Correção e mitigação
- Atualize o FOSSBilling para a versão 0.8.0 ou posterior.
- Enquanto a atualização não for possível, bloqueie o acesso externo a /api/system/* no proxy reverso ou no firewall de aplicação web.
- Restrinja o acesso à API a endereços IP de origem confiáveis usando a configuração api.allowed_ips.
- Rotacione todos os tokens de API de administradores e clientes, invalide sessões ativas e redefina credenciais de alto privilégio.
- Se forem encontrados acessos suspeitos, trate o sistema como potencialmente comprometido e acione seu processo de resposta a incidentes.
Orientações de detecção
- Revise os logs do servidor web, do proxy reverso e da API em busca de requisições a /api/system/ de origens inesperadas ou sem a autenticação esperada.
- Procure ações administrativas no sistema de cobrança que não possam ser associadas a um operador conhecido.
- Correlacione eventuais achados com alterações recentes de tokens e sessões.
Limitações das informações disponíveis
- O registro não inclui entradas estruturadas de produtos afetados ou correções fornecidas pelo fabricante.
- O registro não trata de versões anteriores à 0.5.4; se elas são afetadas é desconhecido.
- O caminho exato de exploração, a posição de rede necessária e a exposição de implantações reais não são descritos no registro.
- Os avisos do GitHub listados no registro não foram consultados, então seus detalhes não constam nesta análise.
Perguntas frequentes
Quais versões do FOSSBilling são afetadas?
Segundo o registro, são afetadas as versões a partir de 0.5.4 até antes de 0.8.0. O registro não trata de versões anteriores à 0.5.4.
Qual é a correção?
A descrição indica que a versão 0.8.0 corrige o problema. Atualizar para essa versão ou posterior é a principal medida de correção.
Esta vulnerabilidade está sendo explorada?
O registro mostra que o CVE não consta no catálogo KEV da CISA, e nas fontes consultadas não há indicação de exploração confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.