CVE-2026-55387 in InvoiceShelf
Riassunto
di VulDB • 15/10/2026
InvoiceShelf è un'applicazione web e mobile open-source che aiuta a tracciare le spese, i pagamenti ed creare fatture professionali preventivi. Nelle versioni 2.3.3 e precedenti, la validazione della richiesta di eliminazione in massa (bulk-delete) di InvoiceShelf accetta identificatori dei record senza legarli coerentemente al company_id dell'utente autenticato. I validatori interessati DeleteCustomersRequest, DeleteEstimatesRequest, DeleteExpensesRequest, DeleteInvoiceRequest, DeleteItemsRequest, DeletePaymentsRequest e DeleteUserRequest verificano che gli identificatori esistano ma non controllano in modo coerente la proprietà del tenant (tenant ownership). Un utente autenticato può inviare l'identificatore di un'altra azienda ed eliminare record cross-company. Questa vulnerabilità è risolta nella versione 2.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.