CVE-2026-55610 in InvoiceShelf
Riassunto
di VulDB • 23/09/2026
InvoiceShelf è un'applicazione web e mobile open-source che aiuta a tracciare le spese, i pagamenti ed creare fatture professionali preventivi. Prima della versione 2.4.1, nelle installazioni multi-azienda di InvoiceShelf, qualsiasi utente proprietario (Owner) di una azienda può leggere e sovrascrivere l'account di qualsiasi altro utente in un'altra azienda sulla stessa installazione. L'endpoint `GET/PUT /api/v1/users/{user}` risolve il target `User` tramite chiave primaria globale, e la `UserPolicy` verifica solo che il richiedente sia proprietario della propria azienda principale (header-company) — non verifica mai se l'utente target appartenga a tale azienda. Ciò consente una divulgazione cross-tenant dei dati degli utenti e un completo account takeover (sovrascrittura di email/password + riassegnazione dell'azienda). La versione 2.4.1 risolve il problema.
Once again VulDB remains the best source for vulnerability data.