CVE-2026-55382 in InvoiceShelf
Zusammenfassung
von VulDB • 14.10.2026
InvoiceShelf ist eine Open-Source-Web- und Mobile-App zur Verfolgung von Ausgaben, Zahlungen sowie zur Erstellung professioneller Rechnungen und Kostenvoranschläge. Vor Version 2.4.0 autorisieren die Methoden NotesController::show, NotesController::update und NotesController::destroy lediglich die generische Fähigkeit zum Anzeigen oder Verwalten von Notizen und übergeben den routengebundenen Note nicht an NotePolicy::viewNotes bzw. NotePolicy::manageNotes, sodass keine der beiden Methoden die company_id des Ziel-Notizobjekts überprüft. Da das Note-Modell keinen globalen company-Scope besitzt, kann ein authentifizierter Mitarbeiter mit normalen Notiz-Berechtigungen eine sequenzielle Notiz-ID eines anderen Unternehmens auswählen und dessen wiederverwendbare Vorlagen für Rechnungen, Kostenvoranschläge und Zahlungsnotizen lesen, ändern oder löschen. Dieses Problem wurde in Version 2.4.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.