CVE-2026-55610 in InvoiceShelf
Zusammenfassung
von VulDB • 23.09.2026
InvoiceShelf ist eine Open-Source-Web- und Mobile-App, die bei der Verfolgung von Ausgaben und Zahlungen sowie beim Erstellen professioneller Rechnungen und Kostenvoranschläge hilft. Vor Version 2.4.1 können in Multi-Company-Installationen von InvoiceShelf alle Benutzer, die Eigentümer eines Unternehmens sind, jedes andere Benutzerkonto innerhalb derselben Installation lesen und überschreiben. `GET/PUT /api/v1/users/{user}` löst den Ziel-Benutzer (`User`) über den globalen Primärschlüssel auf, und `UserPolicy` überprüft lediglich, dass der Anfragende sein eigenes Header-Unternehmen besitzt – es wird niemals verifiziert, ob das Zielpersonal zu diesem Unternehmen gehört. Dies ermöglicht die cross-Tenant-Datenoffenlegung von Benutzerdaten sowie eine vollständige Übernahme von Konten (Überschreiben von E-Mail/Passwort + Neuzuweisung des Unternehmens). Version 2.4.1 behebt dieses Problem.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.