¿Qué es la vulnerabilidad CVE-2026-111048 en FOSSBilling?

FOSSBilling es una plataforma de código abierto orientada a la facturación y gestión de clientes que ha reportado una importante vulnerabilidad de seguridad. El fallo ha sido catalogado como CVE-2026-58946: Vulnerabilidad Crítica CVSS 8.4 de Escalada de Privilegios en cuanto a la similitud de su impacto en la puntuación de riesgo, recibiendo una puntuación CVSS de 8.4 bajo el identificador CVE-2026-111048.

Este problema afecta directamente a la forma en que el software procesa y muestra las notas de soporte introducidas por los operadores dentro del panel administrativo.

Conocer los vectores implicados ayuda a los administradores de sistemas a dimensionar el riesgo real al que se enfrentan las instancias expuestas.

¿A quién afecta y cómo se desencadena el fallo?

El fallo reside en el punto de terminación admin/support/note_create, el cual almacena el parámetro note sin aplicar ninguna sanitización previa en la tabla support_ticket_note. Posteriormente, la plantilla src/modules/Support/templates/admin/mod_support_tickets.html.twig procesa cada nota almacenada utilizando innerHTML dentro de la lista de tickets del panel de administración.

Esto permite que un usuario del personal que posea únicamente el permiso support.manage_tickets inserte código HTML o JavaScript malicioso. Dicho código se ejecutará automáticamente en el navegador de cualquier otro miembro del personal que abra la lista de tickets.

Problemas lógicos similares de tratamiento de datos se han visto en otros entornos, como se analiza al revisar la Vulnerabilidad crítica CVE-2026-115905 con CVSS 10.0 en la librería zip de Rust.

¿Cuáles son las consecuencias de la ejecución de scripts?

El script inyectado se ejecuta aprovechando la sesión y los privilegios del operador que está visualizando la lista de tickets en ese momento. Como resultado, el código malicioso puede leer tokens CSRF, acceder a datos de clientes o facturas visibles, y realizar acciones administrativas avanzadas.

Entre las acciones permitidas se incluyen funciones reservadas para administradores con privilegios elevados, como un Super Administrador, lo que incrementa notablemente la peligrosidad del vector.

Cabe destacar que la página de detalles individuales del ticket no se ve afectada porque su motor de renderizado Twig implementa un sistema de autoescape seguro.

¿Cómo me protejo?

Para solucionar este problema de forma definitiva, los administradores deben actualizar la aplicación a la versión corregida por los desarrolladores. Asimismo, conviene revisar los permisos asignados a los operadores para minimizar riesgos internos.

Para comprender otros riesgos vinculados a fallos de control de privilegios, resulta útil consultar antecedentes como la CVE-2026-58957: Vulnerabilidad Crítica CVSS 8.4 de Escalada de Privilegios.

  1. Verifica la versión actual de tu instalación de FOSSBilling para confirmar si se encuentra entre la 0.1.0 y la 0.8.9.
  2. Actualiza el software a la versión 0.8.9 o aplica el parche oficial disponible en el repositorio de GitHub.
  3. Revisa la tabla support_ticket_note en la base de datos para detectar registros con etiquetas sospechosas de HTML o JavaScript.
  4. Audita los permisos del personal y limita el rol support.manage_tickets únicamente a usuarios de absoluta confianza.