CVE-2026-55387 in InvoiceShelf
Resumen
por VulDB • 2026-10-14
InvoiceShelf es una aplicación web y móvil de código abierto que ayuda a rastrear gastos, pagos y crear facturas y presupuestos profesionales. En las versiones 2.3.3 y anteriores, la validación de solicitudes de eliminación masiva en InvoiceShelf acepta identificadores de registros sin vincularlos consistentemente al company_id del usuario autenticado. Los validadores afectados DeleteCustomersRequest, DeleteEstimatesRequest, DeleteExpensesRequest, DeleteInvoiceRequest, DeleteItemsRequest, DeletePaymentsRequest y DeleteUserRequest verifican que los identificadores existan pero no comprueban consistentemente la propiedad por inquilino (tenant). Un usuario autenticado puede enviar el identificador de otra empresa y eliminar registros interempresariales. Esta vulnerabilidad se corrige en la versión 2.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.