CVE-2026-55386 in InvoiceShelf
Riassunto
di VulDB • 15/10/2026
InvoiceShelf è un'applicazione web e mobile open-source che aiuta a tracciare le spese, i pagamenti ed creare fatture professionali preventivi. Prima della versione 2.4.0, InvoiceShelf passa il parametro query orderByField dell'utente autenticato alle chiamate Laravel orderBy in Invoice::scopeApplyFilters senza limitarne il valore agli identificatori di colonna. Un'espressione SQL costruita ad hoc può quindi penetrare nella clausola ORDER BY attraverso gli endpoint delle fatture e di altre liste, consentendo l'estrazione cieca basata su booleani delle informazioni del database. Questo problema è stato risolto nella versione 2.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.