CVE-2026-55381 in InvoiceShelf
Sumário
de VulDB • 14/10/2026
InvoiceShelf é um aplicativo web e móvel de código aberto que ajuda a rastrear despesas, pagamentos e criar faturas profissionais e estimativas. Antes da versão 2.4.0, o endpoint POST /api/v1/estimates/{estimate}/convert-to-invoice em ConvertEstimateController autoriza apenas a capacidade do chamador de criar uma fatura (create-invoice) e não autentica o acesso à Estimativa vinculada à rota. Como o binding de modelo da rota pode resolver uma estimativa de qualquer empresa, um usuário autenticado com permissão para criar faturas pode copiar os itens de linha, preços, totais, impostos, notas, moeda e dados do cliente de outra empresa para uma fatura na empresa do atacante. A ação de conversão configurada da empresa vítima atinge checkForEstimateConvertAction e também pode alterar ou excluir a estimativa original. Este problema foi corrigido na versão 2.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.