Kritische Sicherheitslücke in FOSSBilling: Handlungsbedarf für Admins
Kritisch
Was ist passiert?
In FOSSBilling, einem kostenlosen Open-Source-System für Abrechnung und Kundenverwaltung, wurde eine kritische Schwachstelle entdeckt. Diese sogenannte Server-Side Template Injection (SSTI) betrifft Versionen vor 0.8.0. Eine Server-Side Template Injection (SSTI) ist eine Schwachstelle, bei der Angreifer schädlichen Code in eine Vorlage einschleusen können, die auf dem Server verarbeitet wird. Dadurch können Informationen offengelegt oder sogar Code auf dem Server ausgeführt werden.
Wer ist betroffen?
Betroffen sind alle Unternehmen, die FOSSBilling in Versionen vor 0.8.0 einsetzen. Insbesondere Administratoren, die Zugriff auf Funktionen zur Bearbeitung von Twig-Vorlagen haben, sind gefährdet. Dazu gehören E-Mail-Vorlagen, Massenversand-Kampagnen, benutzerdefinierte Zahlungsadapter und der `string_render`-API-Endpunkt. Die Schwachstelle kann zur Offenlegung sensibler Daten oder zur Ausführung von Remote Code führen.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.4 als 'kritisch' eingestuft, was auf ein hohes Risiko hinweist. Der CVSS-Score (Common Vulnerability Scoring System) bewertet die Schwere einer Schwachstelle. Der EPSS-Wert (Exploit Prediction Scoring System) liegt bei 2 %, was eine relativ geringe Wahrscheinlichkeit für eine aktive Ausnutzung innerhalb der nächsten 30 Tage andeutet. Aktuell ist die Schwachstelle nicht in der CISA KEV-Liste für aktiv ausgenutzte Schwachstellen gelistet.
Was ist jetzt zu tun?
Installieren Sie umgehend die FOSSBilling-Version 0.8.0, um die Schwachstelle zu schließen. Falls ein sofortiges Update nicht möglich ist, prüfen Sie bestehende E-Mail-Vorlagen auf verdächtige Twig-Ausdrücke. Drehen Sie alle Admin- und Client-API-Tokens, um potenzielle Angriffsvektoren zu unterbinden. Zusätzlich kann der externe Zugriff auf `/api/system/*` über einen Reverse Proxy oder eine Web Application Firewall (WAF) blockiert werden.
Quellen: NVD (CVE-2026-28496), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.