CVE-2026-55385 in InvoiceShelf
요약
\~에 의해 VulDB • 2026. 10. 14.
InvoiceShelf는 지출, 결제 내역을 추적하고 전문적인 견적서 및 청구서를 생성하는 데 도움이 되는 오픈소스 웹 및 모바일 애플리케이션입니다. 버전 2.4.0 이전의 InvoiceShelf에서 PDFConfigurationRequest.php는 소유자가 제어할 수 있는 gotenberg_host 설정을 구문적으로 유효한 URL로만 검증합니다. 이후 GotenbergPDFDriver::loadView는 렌더링된 청구서, 견적서 또는 결제 내역 HTML을 document.html로 포함하는 multipart HTTP 요청을 해당 호스트로 전송하며, 사설 주소, 루프백 주소, 링크 로컬 주소 또는 예약된 주소를 거부하지 않습니다. 소유자는 PDF 생성 기능을 통해 내부 서비스나 클라우드 메타데이터 엔드포인트에 접근할 수 있으며, 구성된 외부 호스트는 이후의 PDF 렌더링 과정에서 고객 이름, 주소, 품목 내역, 합계 금액 및 회사 식별자를 수신합니다. 이 문제는 버전 2.4.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.