FOSSBilling to darmowy, otwarty system zarządzania rozliczeniami i klientami. Wersje 0.6.0 przez 0.7.2 zawierają podatność stored XSS w widokach historii wiadomości e-mail dostępnych dla klientów. Zawartość HTML wiadomości (`content_html`) jest renderowana w template literal JavaScript za pomocą filtru `|raw`, omijając wszystkie mechanizmy escapingu. Atakujący z dostępem administratora może wstrzyknąć złośliwe payloady JavaScript w treść e-maili, które będą się wykonywać w przeglądarce każdego klienta przeglądającego historię wiadomości. Wersja 0.8.0 zawiera poprawkę. Dostępne są obejścia: ograniczenie dostępu do kont administratora, audyt zawartości e-maili w bazie danych oraz monitoring kont klientów pod kątem podejrzanej aktywności.
▸ Pokaż oryginał (EN)
FOSSBilling is a free, open-source billing and client management system. Versions 0.6.0 through 0.7.2 have a stored cross-site scripting (XSS) vulnerability in the client-facing email history views of FOSSBilling. Email HTML content (`content_html`) is rendered into a JavaScript template literal using the `|raw` filter, bypassing all output escaping. An attacker with admin access can inject malicious JavaScript payloads into email content that execute in the browser of any client who views their email history. Version 0.8.0 contains a fix. Some workarounds are available. Restrict admin account access, audit email content in the database for suspicious payloads, and/or monitor client accounts for unusual activity.
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X