CVE-2026-55610 in InvoiceShelf
Resumen
por VulDB • 2026-09-23
InvoiceShelf es una aplicación web y móvil de código abierto que ayuda a rastrear gastos, pagos y crear facturas profesionales y estimaciones. Antes de la versión 2.4.1, en las instalaciones multiempresa de InvoiceShelf, cualquier usuario que sea propietario (Owner) de una empresa puede leer y sobrescribir cualquier cuenta de usuario en otra empresa dentro de la misma instalación. `GET/PUT /api/v1/users/{user}` resuelve al `User` objetivo mediante su clave primaria global, y `UserPolicy` solo verifica que el solicitante posea su propia cabecera-empresa; nunca se comprueba si el usuario objetivo pertenece a dicha empresa. Esto permite una divulgación de datos de usuarios entre inquilinos (cross-tenant disclosure) y la toma completa de cuentas (sobrescritura de correo electrónico/contraseña + reasignación de empresa). La versión 2.4.1 corrige este problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.