CVE-2026-55382 in InvoiceShelf
الملخص
بحسب VulDB • 14/10/2026
InvoiceShelf هو تطبيق ويب وموبايل مفتوح المصدر يساعد في تتبع النفقات والمدفوعات وإنشاء فواتير وتقديرات احترافية. قبل الإصدار 2.4.0، تقوم دوال NotesController::show وNotesController::update وNotesController::destroy بتفويض صلاحية عرض الملاحظات أو إدارتها بشكل عام فقط ولا تمرر ملاحظة مرتبطة بالمسار (route-bound Note) إلى NotePolicy::viewNotes أو NotePolicy::manageNotes، لذا فإن أيًا من الدالتين لا يتحقق من company_id للملاحظة المستهدفة. نظرًا لأن نموذج Note (Note model) لا يحتوي على نطاق شركة عالمي (global company scope)، يمكن لمستخدم مُصادق عليه يمتلك صلاحيات ملاحظات عادية اختيار معرّف الملاحظة التسلسلي لشركة أخرى وقراءة أو تعديل أو حذف قوالب الفواتير القابلة لإعادة الاستخدام، والتقديرات، وملاحظات المدفوعات الخاصة بها. تم إصلاح هذه المشكلة في الإصدار 2.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.