慢讯：
FOSSBilling 0.7.x 存在多个安全漏洞，官方在发布 0.8.0 时修复了这些问题，并将升级定性为优先安全基线，强烈要求用户尽快迁移。
论坛里有些虚拟主机和免费域名的商家用的就是 FossBilling 或者是基于 FossBilling 二次开发的，希望受到影响的商家注意一下。我已经邮件提醒了一部分可能受到影响但仍未升级的商家。
从近期的安全报告来看，FOSSBilling 即使升级到了最新版本，也仍然存在尚未修复的安全问题，其中包括多个高危漏洞。
0.7.x 存在的已知安全漏洞
FOSSBilling 0.8.0 一次性修复了多项安全漏洞，涵盖高危和中低危问题 。目前已披露或正在披露的包括：
版本信息泄露（CVE-2026-40495）
这是一个信息暴露漏洞（CWE-200），严重性在于：0.7.x 及更早版本的每个 HTML 页面的
<script>和<link>标签中，都会通过资产缓存破坏（cache buster）参数将 FOSSBilling 的精确版本号暴露给所有访客，包括未经身份验证的匿名用户 。即便管理员开启了hide_version_public安全设置，该泄露依然绕过此保护 。攻击者只需发出一次 GET 请求，即可获取版本号，进而在漏洞数据库中精准匹配可用的版本特定漏洞 。开放重定向漏洞（CVE-2026-43924）
0.8.0 以前的 Redirect 模块在保存或下发重定向时，不验证管理员配置的目标 URL 的协议（scheme），允许将任意外部 URL 设置为重定向目标 。由于响应为 301（永久重定向），浏览器会永久缓存该目标，攻击者可借此向合法用户下发精准钓鱼攻击，放大危害 。
其他 0.8.0 修复项
0.8.0/0.8.1/0.8.2 的更新日志还披露了以下修复 ：
- 管理员工单回复内容未净化：存在潜在注入风险（已在 0.8.1 修复，#3669）
- 可下载产品文件名未验证：可能导致未授权文件访问（#3676）
- 目录遍历漏洞：扩展卸载路径未验证，可能遍历目录，核心模块保护被绕过（#3718）
- 逆向 tabnapping 漏洞：Theme 服务存在此漏洞（#3723）
- 登录模板回显密码：密码值在登录模板中被明文回显（#3714）
- 访客 Invoice/PDF/支付 API 无速率限制：可被枚举或滥用（#3694）
- 访客 Cron 端点未鉴权：无需安全哈希即可调用（#3698）
- UpdatePatcher SQL 安全性问题：更新期间存在不安全的数据库操作（#3685）
发布说明中明确指出，0.8.0 修复了多项安全漏洞，其中包括高影响级别问题，并正在分批发布完整漏洞披露报告 。截至 0.8.2 发布时，官方已将其定为推荐安全基线，仍停留在旧版本的用户均处于已知漏洞暴露状态 。
此外，FOSSBilling 历史上共积累了 12 个 CVE 记录，其中 9 个有公开的利用代码（public exploit），攻击面广泛。版本泄露漏洞（CVE-2026-40495）本身即可帮助攻击者快速定位适用的已知 exploit，形成侦察 → 精准利用的攻击链，使每一个未升级的实例都面临更高的实际风险 。
维护者对安全漏洞修复工作也不是很积极，当初是从BoxBilling改的，可能有点积重难返了