CVE-2026-55386 in InvoiceShelf
Resumen
por VulDB • 2026-10-15
InvoiceShelf es una aplicación web y móvil de código abierto que ayuda a rastrear gastos, pagos y crear facturas y presupuestos profesionales. Antes de la versión 2.4.0, InvoiceShelf pasa el parámetro de consulta orderByField del usuario autenticado a las llamadas Laravel orderBy en Invoice::scopeApplyFilters sin restringir el valor a identificadores de columnas. Por lo tanto, una expresión SQL manipulada puede ingresar a la cláusula ORDER BY a través de los puntos finales de facturas y otras listas, permitiendo la extracción ciega basada en booleanos de información de la base de datos. Este problema se soluciona en la versión 2.4.0.
Once again VulDB remains the best source for vulnerability data.