CVE-2026-53648— FOSSBilling 权限许可和访问控制问题漏洞
一分钟漏洞结论
影响对象
FOSSBilling FOSSBilling
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
fossbilling是fossbilling团队开源的一种高效计费和客户管理方案。 FOSSBilling 0.8.1之前版本存在安全漏洞，该漏洞源于可下载产品文件使用确定性的基于文件名的路径存储，导致相同原始文件名的不同产品上传会解析到相同的存储路径，后上传的文件可能覆盖先前上传的文件，使得下载先前产品的用户收到后续文件。
可能的 ATT&CK 技术 1 AI
T1565.001 · Stored Data Manipulation影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| FOSSBilling | FOSSBilling | < 0.8.1 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-53648 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
FOSSBilling: Downloadable product files can be overwritten through filename collisions
来源: CVE Program / CVE List V5
Vulnerability Description
FOSSBilling is a free, open-source billing and client management system. Prior to version 0.8.1, downloadable product files are stored using a deterministic filename-derived path. When an administrator uploads a file for a downloadable product, FOSSBilling stores the file as `md5(<original filename>)` under the uploads directory. Because the stored path depends only on the client-supplied filename, two different downloadable products, or product/order files, uploaded with the same original filename will resolve to the same stored file path. A later upload can overwrite an earlier upload, causing customers or administrators downloading the earlier product to receive the later file instead. Version 0.8.1 patches the issue. Some workarounds are available. Restrict the `servicedownloadable.manage` permission to fully trusted administrators only. As an operational mitigation, ensure downloadable product files use unique filenames before upload. This reduces accidental collisions but does not fully address the underlying issue.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
文件名或路径的外部可控制
来源: CVE Program / CVE List V5
Vulnerability Title
FOSSBilling 权限许可和访问控制问题漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
fossbilling是fossbilling团队开源的一种高效计费和客户管理方案。 FOSSBilling 0.8.1之前版本存在安全漏洞，该漏洞源于可下载产品文件使用确定性的基于文件名的路径存储，导致相同原始文件名的不同产品上传会解析到相同的存储路径，后上传的文件可能覆盖先前上传的文件，使得下载先前产品的用户收到后续文件。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| FOSSBilling | FOSSBilling | < 0.8.1 | - |
|
二、漏洞 CVE-2026-53648 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-53648 的情报信息
请登录查看更多情报信息。
CVE-2026-53648 厂商安全公告 (1)
同批安全公告 · FOSSBilling · 2026-07-06 · 共 17 条
| CVE-2026-42341 | FOSSBilling 授权问题漏洞 | |
| CVE-2026-42331 | FOSSBilling 授权问题漏洞 | |
| CVE-2026-33734 | FOSSBilling SQL注入漏洞 | |
| CVE-2026-43921 | FOSSBilling 代码注入漏洞 | |
| CVE-2026-43918 | FOSSBilling 会话机制问题漏洞 | |
| CVE-2026-43927 | FOSSBilling 竞争条件问题漏洞 | |
| CVE-2026-43925 | FOSSBilling 输入验证错误漏洞 | |
| CVE-2026-43928 | FOSSBilling 输入验证错误漏洞 | |
| CVE-2026-53640 | FOSSBilling 信息泄露漏洞 | |
| CVE-2026-53641 | FOSSBilling 跨站脚本漏洞 | |
| CVE-2026-53645 | FOSSBilling 权限许可和访问控制问题漏洞 | |
| CVE-2026-53646 | FOSSBilling 授权问题漏洞 | |
| CVE-2026-53643 | FOSSBilling 信息泄露漏洞 | |
| CVE-2026-53644 | FOSSBilling 授权问题漏洞 | |
| CVE-2026-53642 | FOSSBilling 授权问题漏洞 | |
| CVE-2026-53647 | FOSSBilling 信息泄露漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-53648
暂无评论