CVE-2026-55610 in InvoiceShelf
要約
〜によって VulDB • 2026年09月23日
InvoiceShelfは、経費や支払いを追跡し、専門的な請求書および見積書を作成するためのオープンソースのWebおよびモバイルアプリです。バージョン2.4.1より前では、InvoiceShelfのマチカンパニーインストールにおいて、ある会社のオーナーである任意のユーザーが、同じインストール内の他の会社にある任意のユーザーアカウントを読み取り上書きできます。`GET/PUT /api/v1/users/{user}`はターゲットとなる `User` をグローバルな主キーで解決し、`UserPolicy` はリクエスターが自身のヘッダーカンパニーを所有していることのみを確認します（ターゲットユーザーがそのカンパニーに属しているかどうかは一切検証されません）。これにより、テナント間のデータ開示と完全なアカウント乗っ取り（メール/パスワードの上書き + カンパニーの再割り当て）が可能になります。この問題はバージョン2.4.1で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.