FOSSBilling 模板注入漏洞已遭野外利用

sec随谈
sec随谈

sec随谈

2026年6月29日 09:27
北京

在小说阅读器读本章

去阅读

摘要（TL;DR）

一个严重的 FOSSBilling 模板注入漏洞（CVE-2026-28496）的 CVSS 评分为 9.4。攻击者可以读取敏感数据并在主机上运行代码。已有一名研究人员发现了野外的利用尝试。

影响为何重大

FOSSBilling 存储着客户记录、支付详情和员工凭据。因此，这里的单个漏洞便会暴露一个计费平台最敏感的数据。更糟的是，该漏洞还能升级为完全的远程代码执行（RCE）。

当与授权绕过漏洞（GHSA-78×5-c8gw-8279）串联利用时，则无需登录。因此，未经身份验证的攻击者也能触及同一条存在漏洞的代码路径。

攻击如何实现

问题出在 FOSSBilling 的 Twig 模板渲染中。该应用程序在渲染模板时未使用沙箱。因此，拥有模板访问权限的攻击者可以注入任意的 Twig 表达式。

这些模板暴露了 API 全局变量和一个 getDi() 方法。该方法会返回完整的依赖注入（DI）容器。攻击者由此可以触及数据库、缓存和密码服务。这一利用链将信息泄露转化为了远程代码执行。

受影响的版本

这个 FOSSBilling 模板注入问题影响 0.1.0 至 0.7.2 版本。简而言之，迄今为止的每一个发行版都存在漏洞。该项目的官方安全公告列出了受影响的组件。

利用现状

6 月 24 日，一名研究人员观察到来自 IP 地址 160.30.209[.]77（AS137552 Terabix）的野外利用。该安全公告仅在数天前才公开。因此，在首批探测到来之前，防御者只有一个狭窄的应对窗口。不过，目前尚未发布公开的概念验证（PoC）。该漏洞也尚未出现在主要的已知被利用漏洞目录中。尽管如此，该攻击者会避开常见的蜜罐（honeypot），这表明这是一场有针对性的攻击行动。安全公司 VulnCheck 另行证实了针对默认安装环境的未授权 RCE 利用链。

补丁与缓解措施

请立即更新至 FOSSBilling 0.8.0，因为该版本修复了此漏洞。如果你现在无法打补丁，请改为采取以下措施：

• 审查电子邮件模板中是否存在可疑的 Twig 表达式。
• 轮换（rotate）所有管理员和客户 API 令牌。
• 在你的反向代理或 WAF 上阻止对 /api/system/\* 的外部访问。

最后，在你的日志中检索上述攻击者 IP。

参考链接：

https://github.com/FOSSBilling/FOSSBilling/security/advisories/GHSA-57mv-jm88-66jc