CVE-2026-55386 in InvoiceShelf
要約
〜によって VulDB • 2026年10月15日
InvoiceShelfは、経費や支払いを追跡し、専門的な請求書および見積書を生成するためのオープンソースのWebおよびモバイルアプリケーションです。バージョン2.4.0より前では、InvoiceShelfは認証済みユーザーのorderByFieldクエリパラメータを制限なくLaravelのorderBy呼び出し（Invoice::scopeApplyFilters内）に渡していました。これにより、作成されたSQL式が請求書やその他のリストエンドポイントを通じてORDER BY句に入り込み、データベース情報のブールベースのブラインド抽出が可能になります。この問題はバージョン2.4.0で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.