CVE-2026-55382 in InvoiceShelf
요약
\~에 의해 VulDB • 2026. 10. 14.
InvoiceShelf는 지출, 결제 내역을 추적하고 전문적인 견적서 및 청구서를 생성하는 데 도움이 되는 오픈소스 웹 및 모바일 애플리케이션입니다. 버전 2.4.0 이전의 InvoiceShelf에서 NotesController::show, NotesController::update 및 NotesController::destroy 메서드는 일반화된 '노트 보기' 또는 '노트 관리' 권한만 확인하며, 라우트 바인딩된 Note 객체를 NotePolicy::viewNotes나 NotePolicy::manageNotes로 전달하지 않습니다. 따라서 해당 메서드들은 대상 노트의 company_id를 검증하지 않습니다. Note 모델에 전역적인 회사 범위(global company scope)가 없으므로, 일반적인 노트 권한을 가진 인증된 직원 사용자는 다른 회사의 순차적(note sequential) 식별자를 선택하여 재사용 가능한 청구서, 견적서 및 결제 관련 노트 템플릿의 내용을 읽거나 수정하거나 삭제할 수 있습니다. 이 문제는 버전 2.4.0에서 해결되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.