Podatność w aplikacji Hostbill w wersjach 2025-11-24 oraz 2025-12-01 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu oraz eskalację uprawnień. Błąd wynika z braku odpowiedniej walidacji po stronie serwera dla pola CSV używanego podczas rejestracji użytkowników.
▸ Pokaż oryginał (EN)
An issue in Hostbill v.2025-11-24 and 2025-12-01 allows a remote attacker to execute arbitrary code and escalate privileges via the CSV registration field
Podatność sklasyfikowana jako CWE-1236 (Improper Neutralization of Formula Elements in a CSV File) pozwala atakującemu na wstrzyknięcie złośliwych formuł lub payloadów do pola CSV formularza rejestracyjnego. Brak walidacji danych wejściowych po stronie serwera sprawia, że przesłana zawartość jest przetwarzana w niebezpieczny sposób. W rezultacie możliwe jest wykonanie dowolnego kodu na serwerze oraz uzyskanie podwyższonych uprawnień w systemie.
Atakujący może zdalnie wykonać dowolny kod na serwerze (RCE) bez konieczności posiadania jakichkolwiek uprawnień, a następnie eskalować swoje uprawnienia (privilege escalation), co może prowadzić do pełnego przejęcia kontroli nad systemem oraz naruszenia poufności, integralności i dostępności danych.
Należy zaktualizować Hostbill do wersji zawierającej poprawkę bezpieczeństwa opisaną w oficjalnym security advisory producenta (https://blog.hostbillapp.com/2025/12/03/hostbill-security-advisory/) oraz zastosować patche dostępne zgodnie z release notes producenta z dnia 27.11.2025 i 01.12.2025. Zaleca się również weryfikację logów rejestracji pod kątem anomalnych danych wejściowych w polach CSV.
Hostbill w wersjach 2025-11-24 oraz 2025-12-01
Podatność została ujawniona publicznie wraz z repozytorium na GitHub zawierającym szczegóły techniczne dotyczące brakującej walidacji po stronie serwera dla pól rejestracji i importu CSV (autor: Muhammad5235). Producent opublikował security advisory 3 grudnia 2025 r.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H