جزئیات آسیب‌پذیری

CVE-2026-112374

FOSSBilling FOSSBilling

FOSSBilling before 0.8.9 Login CSRF via Staff Guest Login API

CVSS 4.0

5.1متوسط

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

FOSSBilling before 0.8.9 contains a Cross-Site Request Forgery vulnerability in the staff guest login endpoint (POST /api/guest/staff/login) that allows remote attackers to force authentication because checkGuestClientAuthentication() only allowlists client_login and client_create, leaving staff_login without CSRF or Origin validation. Attackers can host an auto-submitting HTML form with attacker-controlled credentials to silently log a victim's browser into the attacker's staff account.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
5.1متوسط	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N`
4.3متوسط	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
FOSSBilling	FOSSBilling	0.1.0 ≤ v < 0.8.9	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-h7w3-wp25-gf86 vendor-advisorytechnical-description
https://github.com/FOSSBilling/FOSSBilling/releases/tag/0.8.9 patchissue-tracking
https://www.vulncheck.com/advisories/fossbilling-before-login-csrf-via-staff-guest-login-api third-party-advisory

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۸/۰۸
آخرین به‌روزرسانی: ۱۴۰۵/۰۸/۰۸
وضعیت: PUBLISHED
صادرکننده (CNA): VulnCheck
اولویت کلون: به‌زودی

پیش‌بینی بهره‌برداری (EPSS)

۰٫۱۷٪

احتمال بهره‌برداری در ۳۰ روز

۶٫۶٪

صدک (نسبت به همه‌ی CVEها)

ضعف‌ها (CWE)

CWE-352
Cross-Site Request Forgery (CSRF)