CVE-2026-55386 in InvoiceShelf
Сводка
по VulDB • 14.10.2026
InvoiceShelf — это приложение с открытым исходным кодом для веб- и мобильных платформ, которое помогает отслеживать расходы и платежи, а также создавать профессиональные счета на оплату и коммерческие предложения. До версии 2.4.0 InvoiceShelf передает параметр запроса orderByField аутентифицированного пользователя в вызовы Laravel orderBy внутри метода Invoice::scopeApplyFilters без ограничения значения идентификаторами столбцов. Следовательно, с помощью специально созданного SQL-выражения можно внедрить код в предложение ORDER BY через конечные точки для счетов и других списков, что позволяет осуществлять извлечение информации из базы данных методом blind extraction на основе булевых условий (boolean-based). Эта проблема исправлена в версии 2.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.