CVE-2026-55382 in InvoiceShelf
Riassunto
di VulDB • 15/10/2026
InvoiceShelf è un'applicazione web e mobile open source che aiuta a tracciare le spese, i pagamenti ed creare fatture professionali preventivi. Prima della versione 2.4.0, NotesController::show, NotesController::update e NotesController::destroy di InvoiceShelf autorizzano solo la capacità generica di visualizzare o gestire le note senza passare l'oggetto Note legato alla rotta a NotePolicy::viewNotes o NotePolicy::manageNotes; pertanto, nessuno dei due metodi verifica il campo company_id della nota target. Poiché il modello Note non dispone di un ambito (scope) globale per company_id, un utente autenticato con ruoli standard sulle note può selezionare l'identificativo sequenziale delle note di un'altra azienda e leggere, modificare o eliminare i suoi modelli riutilizzabili di fattura, preventivo e nota sui pagamenti. Questo problema è stato risolto nella versione 2.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.