🇰🇷 한글 설명
FOSSBilling 0.8.4부터 0.8.6 버전에서 비활성화된 비핵심 모듈에 대한 권한 검증이 누락되는 취약점이 발견되었습니다. 권한이 낮은 직원이 비활성화된 모듈의 API를 호출하여 암호화된 확장 프로그램 비밀 정보를 읽거나 설정을 임의로 변경할 수 있습니다.
💡 쉬운 설명
사용하지 않도록 꺼둔 기능임에도 불구하고, 보안 검사를 건너뛰는 허점이 있어 권한이 낮은 사용자가 중요한 정보를 훔쳐보거나 설정을 바꿀 수 있는 문제입니다. 이는 시스템의 설정값을 조작하거나 비밀번호 같은 민감한 정보를 유출할 위험이 있습니다.
🇺🇸 원문 (English)
FOSSBilling is an open source billing and client-management platform. From 0.8.4 until 0.8.6, hasManagePermission fails open for inactive non-core modules because its early return on !isExtensionActive skips the module-access and manage_settings checks. A low-privileged staff account with module-level extension access targets a deactivated non-core module through extension/config_get or extension/config_save. The account can call api/admin/extension/config_get or api/admin/extension/config_save for a deactivated non-core module to read decrypted retained extension secrets and overwrite stored extension configuration. The getConfig function returns the decrypted stored configuration despite the module's inactive state. This residual path remained after the earlier CVE-2026-62962 authorization fix. This issue is fixed in version 0.8.6.
📍 영향받는 시스템
FOSSBilling version 0.8.4 to 0.8.6
⚔️ 공격 벡터
낮은 권한을 가진 계정으로 비활성화된 모듈의 API(extension/config_get 또는 config_save)를 호출하여 공격
🛡️ 대응 방법
FOSSBilling을 최신 보안 패치가 적용된 버전 0.8.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 0.8.4, 0.8.5, 0.8.6 중 하나가 포함되어 있다면 해당 취약점에 노출된 버전입니다.
php -r 'echo "0.8.4 0.8.5 0.8.6";' | grep -E '0.8.[4-6]'