CVE-2026-33543: FOSSBilling: bypass de autenticação no endpoint de criação de administrador para convidados
O FOSSBilling nas versões 0.7.2 e anteriores contém um bypass de autenticação em um endpoint da API para convidados, destinado à configuração inicial do administrador. O endpoint continua acessível depois que já existe um administrador, o que pode permitir a criação de uma conta administrativa privilegiada. O GitHub classifica a falha como Crítica, com CVSS 4.0 de 9.3, e indica correção na versão 0.8.0.
Visão geral
O FOSSBilling é um sistema de cobrança e gestão de clientes de código aberto. Segundo o aviso no GitHub, as versões 0.7.2 e anteriores expõem um endpoint de API para convidados, destinado à criação inicial do administrador. Esse endpoint continua acessível depois que já existe um administrador, por causa de uma verificação de existência de administrador com falha.
Impacto
- O aviso descreve um bypass de autenticação (CWE-288) que pode levar à criação de uma nova conta de administrador e a uma sessão privilegiada imediata.
- A pontuação base CVSS 4.0 registrada pelo GitHub é 9.3 (Crítica), com vetor de rede, sem necessidade de privilégios nem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
- Como a verificação é contornada, a proteção destinada à primeira configuração deixa de valer quando já existe um administrador.
Produtos e versões afetados
- Produto: FOSSBilling.
- As versões 0.7.2 e anteriores são descritas como afetadas no texto do registro.
- A versão 0.8.0 é indicada como correção, e a tag de lançamento consta nas referências.
- Os campos estruturados de versões afetadas e correções estão vazios no registro, então os intervalos dependem do texto da descrição.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa confirmada ali.
- Nenhuma exploração confirmada aparece nas fontes consultadas nesta análise. Dados do EPSS estão ausentes no registro.
Correção e mitigação
- Atualize o FOSSBilling para a versão 0.8.0 ou posterior, conforme indicado no aviso e na tag de lançamento.
- Se a atualização imediata não for possível, restrinja o acesso às rotas da API para convidados na camada de rede ou no proxy reverso. O registro não descreve um workaround oficial, então esta é uma medida defensiva geral e não uma mitigação verificada pelo fornecedor.
- Após a atualização, revise a lista de contas de administrador e remova as que não foram criadas pela sua equipe. Troque as credenciais dos administradores existentes e revise as sessões ativas.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições a caminhos de API de convidados relacionados à criação de administradores, especialmente após a configuração inicial.
- Monitore a criação de novas contas de administrador e logins de administrador a partir de origens ou horários incomuns.
- Correlacione eventos de criação de contas com os acessos à API de convidados.
Limitações das informações disponíveis
- O registro não traz lista detalhada de builds afetados, workaround fornecido pelo fornecedor nem diff do patch.
- Dados de EPSS e SSVC estão ausentes.
- As fontes consultadas são o aviso do GitHub, a tag de lançamento e as páginas de registro NVD e CVE.org listadas nas referências.
Perguntas frequentes
Quais versões do FOSSBilling são afetadas pela CVE-2026-33543?
O registro indica que as versões 0.7.2 e anteriores são afetadas. A correção é descrita como disponível na versão 0.8.0.
Há exploração ativa conhecida desta vulnerabilidade?
O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Mesmo assim, dada a classificação crítica, a atualização deve ser feita com prioridade.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.