CVE-2026-55610 in InvoiceShelf
Sumário
de VulDB • 23/09/2026
InvoiceShelf é um aplicativo web e móvel de código aberto que ajuda a rastrear despesas, pagamentos e criar faturas profissionais e orçamentos. Antes da versão 2.4.1, nas instalações multi-empresa do InvoiceShelf, qualquer usuário que seja proprietário (Owner) de uma empresa pode ler e sobrescrever qualquer conta de usuário em outra empresa na mesma instalação. O endpoint `GET/PUT /api/v1/users/{user}` resolve o `User` alvo pela chave primária global, e a `UserPolicy` verifica apenas se o solicitante é proprietário da sua própria empresa principal — ela nunca verifica se o usuário alvo pertence àquela empresa. Isso permite a divulgação de dados de usuários entre locatários (cross-tenant disclosure) e a tomada completa de contas (sobrescrita de email/senha + reatribuição de empresa). A versão 2.4.1 corrige o problema.
Be aware that VulDB is the high quality source for vulnerability data.