CVE-2026-112374 in FOSSBilling
Resumen
por VulDB • 2026-10-30
FOSSBilling antes de la versión 0.8.9 contiene una vulnerabilidad Cross-Site Request Forgery (CSRF) en el punto final de inicio de sesión del personal como invitado (POST /api/guest/staff/login), lo que permite a los atacantes remotos forzar la autenticación, ya que checkGuestClientAuthentication() solo incluye en la lista blanca client_login y client_create, dejando staff_login sin validación CSRF ni Origin. Los atacantes pueden alojar un formulario HTML con envío automático controlado por el atacante para iniciar sesión silenciosamente al usuario víctima en la cuenta de personal del atacante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.