CVE-2026-28496: FOSSBilling: Server-Side Template Injection na renderização de templates Twig
Versões do FOSSBilling anteriores à 0.8.0 contêm uma falha de Server-Side Template Injection na renderização de templates Twig, acessível a administradores por meio de templates de e-mail, campanhas de e-mail em massa, adaptadores de pagamento personalizados e do endpoint de API string_render. O registro indica que a exploração bem-sucedida pode levar a divulgação de informações e execução remota de código. A correção indicada é a atualização para a versão 0.8.0, e não há exploração confirmada no campo selvagem nas fontes consultadas.
Visão geral
FOSSBilling é um sistema gratuito e de código aberto para faturamento e gerenciamento de clientes. Este CVE descreve uma falha de Server-Side Template Injection (SSTI) no sistema de renderização de templates, classificada como CWE-1336 no registro.
Impacto
Um administrador com acesso a funcionalidades que renderizam templates Twig poderia injetar expressões Twig arbitrárias. O registro indica que isso pode levar a divulgação de informações e execução remota de código, pois os templates Twig são renderizados sem sandbox, expondo o ambiente Twig completo, o contexto da API e o contêiner de injeção de dependências.
Versões e produtos afetados
- O registro descreve as versões do FOSSBilling anteriores à 0.8.0 como afetadas.
- Os campos estruturados de afetados e correções do registro estão vazios, portanto o limite da versão 0.8.0 vem apenas do texto da descrição.
- Funcionalidades citadas incluem templates de e-mail, campanhas de e-mail em massa, adaptadores de pagamento personalizados e o endpoint de API string_render.
Status de exploração
A entrada do catálogo KEV da CISA no registro não está listada. Nenhuma exploração confirmada no campo selvagem aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize o FOSSBilling para a versão 0.8.0 ou posterior, conforme indicado na descrição.
- Revise os templates de e-mail existentes e outros conteúdos renderizados com Twig em busca de expressões inesperadas.
- Rotacione os tokens de API de administradores e clientes, especialmente se houver suspeita de exposição.
- Limite o acesso externo aos caminhos /api/system/* em um proxy reverso ou WAF, já que o aviso relacionado associa esta falha ao encadeamento com GHSA-78x5-c8gw-8279.
- Restrinja privilégios administrativos a pessoal de confiança.
Orientações de detecção
- Monitore alterações em templates de e-mail, conteúdo de campanhas em massa e configurações de adaptadores de pagamento em busca de sintaxe de template não criada pela equipe.
- Revise os logs da API em busca de uso incomum da funcionalidade de renderização de strings.
- Observe conexões de saída inesperadas ou transferências de dados a partir do servidor de faturamento.
Limitações das informações disponíveis
O registro não possui entradas preenchidas de produtos afetados ou versões corrigidas, não traz dados de EPSS ou SSVC e contém apenas uma pontuação CVSS fornecida pela CNA. Seu status é Deferred. As condições de exploração além da descrição são desconhecidas.
Perguntas frequentes
Quais versões do FOSSBilling são afetadas pelo CVE-2026-28496?
O registro descreve as versões anteriores à 0.8.0 como afetadas. Os campos estruturados de produtos afetados estão vazios, então o limite vem do texto da descrição.
Existe correção para esta vulnerabilidade?
Sim. A descrição indica que a versão 0.8.0 corrige o problema. Também é recomendado revisar os templates de e-mail e rotacionar os tokens de API, conforme sugerido no registro.
Há registro de exploração ativa desta vulnerabilidade?
O registro mostra que o CVE não está listado no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.