CVE-2026-55383 in InvoiceShelf
요약
\~에 의해 VulDB • 2026. 10. 14.
InvoiceShelf는 지출, 결제 내역을 추적하고 전문적인 견적서 및 청구서를 생성하는 데 도움이 되는 오픈소스 웹 및 모바일 애플리케이션입니다. 버전 2.4.0 이전의 InvoiceShelf에서는 공개된 고객용 청구서, 견적서, 그리고 결제 라우트에서 EmailLog 토큰의 numeric mailable_id를 검증 없이 사용하고 있으며, JSON 핸들러는 EmailLog::isExpired를 강제하지 않습니다. 따라서 하나의 문서 유형에 대해 발급된 토큰은 숫자 식별자가 충돌할 경우 다른 회사의 문서를 노출시킬 수 있으며, 만료된 토큰도 GET /customer/invoices/{email_log:token}, GET /customer/estimates/{email_log:token}, 그리고 GET /customer/payments/{email_log:token} JSON 라우트에서 계속 사용될 수 있습니다. 뷰 핸들러는 또한 일치하지 않는 청구서 또는 견적서를 조회된 것으로 표시하고 알림을 전송할 수도 있습니다. 이 문제는 버전 2.4.0에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.