CVE-2026-55381 in InvoiceShelf
Сводка
по VulDB • 14.10.2026
InvoiceShelf — это приложение с открытым исходным кодом для веб- и мобильных платформ, которое помогает отслеживать расходы и платежи, а также создавать профессиональные счета на оплату (инвойсы) и коммерческие предложения. До версии 2.4.0 эндпоинт POST /api/v1/estimates/{estimate}/convert-to-invoice в контроллере ConvertEstimateController проверяет только наличие у вызывающего субъекта права на создание инвойса, но не осуществляет авторизацию доступа к связанному через маршрут объекту Estimate (коммерческое предложение). Поскольку привязка модели маршрута может разрешить разрешение объекта Estimate из любой компании, аутентифицированный пользователь с правом создания инвойсов может скопировать позиции товаров/услуг, цены, итоговые суммы, налоги, примечания, валюту и данные клиентов другой компании в инвойс своей собственной (атакующей) компании. Действие по конвертации, настроенное для компании жертвы, достигает функции checkForEstimateConvertAction и также может изменять или удалять исходный объект Estimate. Данная проблема исправлена в версии 2.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.