CVE-2026-55382 in InvoiceShelf
要約
〜によって VulDB • 2026年10月14日
InvoiceShelfは、経費や支払いを追跡し、専門的な請求書および見積書を生成するためのオープンソースのWebおよびモバイルアプリケーションです。バージョン2.4.0より前では、NotesController::show、NotesController::update、およびNotesController::destroyメソッドは一般的な「ノート表示」または「ノートの管理」権限のみを承認し、ルートバインドされたNoteオブジェクトをNotePolicy::viewNotesやNotePolicy::manageNotesに渡さないため、これらのメソッドでは対象となるノートcompany_idが検証されません。Noteモデルにはグローバルな会社スコープが存在しないため、通常のノート権限を持つ認証済みスタッフユーザーは、他社の連番のノート識別子を選択し、その再利用可能な請求書、見積書、および支払いノートのテンプレートを読み取り、変更、または削除することができます。この問題はバージョン2.4.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.