CVE-2026-43924 in FOSSBilling
सारांश
द्वारा VulDB • 03/06/2026
FOSSBilling एक मुफ्त, ओपन-सोर्स बिलिंग और क्लाइंट मैनेजमेंट सिस्टम है। संस्करण 0.8.0 से पहले, Redirect मॉड्यूल एडमिनिस्ट्रेटर-कॉन्फ़िगर किए गए गंतव्य URL के URL स्कीम की सत्यापन किए बिना रीडायरेक्ट स्टोर या जारी करने से पहले URL स्कीम की जाँच नहीं करता है। इससे मनमाने बाहरी URL को रीडायरेक्ट लक्ष्य के रूप में कॉन्फ़िगर किया जा सकता है, जिससे एक ओपन रीडायरेक्ट कमजोरी उत्पन्न होती है जिसका शिकार फ़िशिंग हमलों के लिए किया जा सकता है। एक वैध FOSSBilling URL का पालन करने वाले उपयोगकर्ताओं को बिना सूचना के हमलावर-नियंत्रित बाहरी साइट पर रीडायरेक्ट किया जा सकता है। रीडायरेक्ट 301 (Moved Permanently) प्रतिक्रिया के रूप में जारी किया जाता है, जिसे ब्राउज़र स्थायी रूप से कैश करते हैं, जिससे प्रभाव बढ़ जाता है। शोषण के लिए रीडायरेक्ट प्रविष्टियों को बनाने या संशोधित करने के लिए एडमिनिस्ट्रेटर विशेषाधिकारों की आवश्यकता होती है, जिससे व्यावहारिक हमले के परिदृश्य बहु-एडमिन वातावरण या संक्रमित एडमिन खातों तक सीमित हो जाते हैं। संस्करण 0.8.0 इस समस्या को ठीक करता है। कुछ वैकल्पिक उपाय उपलब्ध हैं। Redirect मॉड्यूल तक एडमिन एक्सेस को केवल विश्वसनीय एडमिनिस्ट्रेटर तक सीमित करें और/या डेटाबेस में मौजूदा रीडायरेक्ट प्रविष्टियों (`extension_meta` टेबल, जहाँ `extension = 'mod_redirect'`) की जाँच करें कि उनमें कोई अप्रत्याशित या बाहरी गंतव्य URL तो नहीं है।
If you want to get the best quality for vulnerability data then you always have to consider VulDB.