CVE-2026-53641— 客户端邮件视图中的存储型XSS漏洞
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| FOSSBilling | FOSSBilling | >= 0.6.0, < 0.8.0 | affected |
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-53641 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
FOSSBilling has stored XSS in client email views via unescaped content in JavaScript template literal
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
FOSSBilling is a free, open-source billing and client management system. Versions 0.6.0 through 0.7.2 have a stored cross-site scripting (XSS) vulnerability in the client-facing email history views of FOSSBilling. Email HTML content (`content_html`) is rendered into a JavaScript template literal using the `|raw` filter, bypassing all output escaping. An attacker with admin access can inject malicious JavaScript payloads into email content that execute in the browser of any client who views their email history. Version 0.8.0 contains a fix. Some workarounds are available. Restrict admin account access, audit email content in the database for suspicious payloads, and/or monitor client accounts for unusual activity.
来源: 美国国家漏洞数据库 NVD
CVSS Information
N/A
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: 美国国家漏洞数据库 NVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| FOSSBilling | FOSSBilling | >= 0.6.0, < 0.8.0 | - |
二、漏洞 CVE-2026-53641 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-53641 的情报信息
请登录查看更多情报信息。
CVE-2026-53641 厂商安全公告 (1)
同批安全公告 · FOSSBilling · 2026-07-06 · 共 17 条
| CVE-2026-42341 | FOSSBilling IPN回调伪造未授权支付绕过漏洞 | |
| CVE-2026-42331 | FOSSBilling 发票访客API接口授权不正确漏洞 | |
| CVE-2026-33734 | FOSSBilling Massmailer 收件人过滤器的 SQL 注入漏洞 | |
| CVE-2026-43921 | FOSSBilling 未转义配置序列化导致任意 PHP 代码注入漏洞 | |
| CVE-2026-43918 | FOSSBilling 暂停/非活跃账户通过会话或API Token维持访问 | |
| CVE-2026-43927 | FOSSBilling 购物车结算竞态条件漏洞绕过促销码使用限制 | |
| CVE-2026-43925 | FOSSBilling 用户注册组ID质量赋值漏洞 | |
| CVE-2026-43928 | FOSSBilling PayPal邮件适配器支付金额未验证导致发票少付 | |
| CVE-2026-53640 | FOSSBilling 只读管理 API 存在越权漏洞，暴露敏感数据 | |
| CVE-2026-53645 | FOSSBilling 员工权限管理缺失自我编辑防护导致持久权限提升漏洞 | |
| CVE-2026-53646 | FOSSBilling 客户端密码重置令牌重用导致持久账户接管 | |
| CVE-2026-53643 | FOSSBilling 低权限账户可越权调用管理API | |
| CVE-2026-53644 | FOSSBilling 订单状态验证缺失导致API密钥泄露漏洞 | |
| CVE-2026-53642 | FOSSBilling 客户端邮箱确认绕过漏洞 | |
| CVE-2026-53647 | FOSSBilling 未授权API密钥配置泄露漏洞 | |
| CVE-2026-53648 | FOSSBilling 可通过文件名冲突覆盖下载产品文件 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-53641
暂无评论