CVE-2026-55387 in InvoiceShelf
Zusammenfassung
von VulDB • 14.10.2026
InvoiceShelf ist eine Open-Source-Web- und Mobile-App, die bei der Verfolgung von Ausgaben und Zahlungen sowie beim Erstellen professioneller Rechnungen und Kostenvoranschläge hilft. In den Versionen 2.3.3 und früher akzeptiert die Validierung für Bulk-Löschanfragen in InvoiceShelf Datensatzkennzeichnungen (Record Identifiers), ohne diese konsistent an die company_id des authentifizierten Benutzers zu binden. Die betroffenen Validator-Klassen DeleteCustomersRequest, DeleteEstimatesRequest, DeleteExpensesRequest, DeleteInvoiceRequest, DeleteItemsRequest, DeletePaymentsRequest und DeleteUserRequest prüfen zwar, ob die Kennzeichnungen existieren, überprüfen jedoch nicht konsequent den Mandantenbesitz (Tenant Ownership). Ein authentifizierter Benutzer kann eine Identifikator-ID eines anderen Unternehmens einreichen und damit datensatzübergreifende Löschungen durchführen. Diese Schwachstelle wurde in Version 2.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.