🇰🇷 한글 설명
FOSSBilling 0.5.6에서 0.7.2 버전 사이에서 이메일 인증 설정이 활성화된 경우, 인증되지 않은 클라이언트가 클라이언트 영역의 모든 페이지에 접근하여 잔액 및 거래 내역 등 실제 계정 데이터를 읽을 수 있는 취약점이 발견되었습니다. API 측면에서는 제한이 적용되어 있으나, 웹 페이지 측면의 권한 검증이 미흡하여 발생한 문제입니다.
💡 쉬운 설명
이메일 인증을 완료하지 않은 사용자가 로그인만 하면 다른 사람의 결제 정보나 잔액을 몰래 볼 수 있는 보안 구멍이 있습니다. 이 문제는 시스템이 페이지 접근 권한을 제대로 확인하지 않아서 발생합니다.
🇺🇸 원문 (English)
FOSSBilling is a free, open-source billing and client management system. In versions 0.5.6 through 0.7.2, when the "Require Email Confirmation" setting is enabled, a logged-in client with an unverified email address (`email_approved = 0`) can access all client-area pages (e.g. `/client/balance`, `/client/order/list`, `/client/invoice`) and read real account data, including wallet balances and transaction history. The API-side enforcement correctly restricts unverified clients to only profile-related endpoints, but the page-side enforcement is overly permissive, allowing any request whose path starts with `/client`. Version 0.8.0 contains a fix. No known workarounds that don't involve modifying the source code are available.
📍 영향받는 시스템
FOSSBilling versions 0.5.6 through 0.7.2
⚔️ 공격 벡터
이메일 인증이 완료되지 않은 계정으로 로그인한 후, 권한 검증이 누락된 클라이언트 영역 URL(/client/*)에 직접 접근
🛡️ 대응 방법
FOSSBilling을 취약점이 해결된 버전인 0.8.0 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 FOSSBilling의 버전이 0.5.6에서 0.7.2 사이인지 확인하여 취약 여부를 판단합니다.
grep -r "version" composer.json 2>/dev/null || echo "Check your FOSSBilling version via dashboard or installation files"