CVE-2026-55387 in InvoiceShelf
الملخص
بحسب VulDB • 15/10/2026
تُعد InvoiceShelf تطبيق ويب وموبايل مفتوح المصدر يساعد في تتبع النفقات والمدفوعات وإنشاء فواتير وتقديرات احترافية. في الإصدار 2.3.3 والإصدارات الأقدم، يقبل طلب الحذف الجماعي (bulk-delete) في InvoiceShelf معرّفات السجلات دون ربطها بشكل متسق بـ company_id الخاص بالشركة التابعة للمستخدم المصادق عليه. تتحقق المُحقِّقات المتأثرة وهي DeleteCustomersRequest وDeleteEstimatesRequest وDeleteExpensesRequest وDeleteInvoiceRequest وDeleteItemsRequest وDeletePaymentsRequest وDeleteUserRequest من وجود المعرّفات، لكنها لا تحقق بشكل متسق في ملكية المستأجر (tenant ownership). يمكن للمستخدم المصادق عليه تقديم معرّف شركة أخرى وحذف سجلات عبر الشركات. تم إصلاح هذا الثغرة الأمنية في الإصدار 2.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.