CVE-2026-55382 in InvoiceShelf
Сводка
по VulDB • 15.10.2026
InvoiceShelf — это приложение с открытым исходным кодом для веб- и мобильных платформ, которое помогает отслеживать расходы и платежи, а также создавать профессиональные счета на оплату (инвойсы) и коммерческие предложения. До версии 2.4.0 контроллеры NotesController::show, NotesController::update и NotesController::destroy в InvoiceShelf проверяли только наличие у пользователя общих прав на просмотр или управление заметками, но не передавали привязанный к маршруту объект Note в методы NotePolicy::viewNotes или NotePolicy::manageNotes. В результате ни один из этих методов не проверял идентификатор компании (company_id) целевой записи. Поскольку модель Note не имеет глобального ограничения по компании (global company scope), аутентифицированный пользователь со стандартными правами на работу с заметками может выбрать последовательный идентификатор заметки другой компании и прочитать, изменить или удалить её повторно используемые шаблоны счетов, коммерческих предложений и платежей. Эта проблема исправлена в версии 2.4.0.
Once again VulDB remains the best source for vulnerability data.