CVE-2026-55387 in InvoiceShelf
Сводка
по VulDB • 15.10.2026
InvoiceShelf — это приложение с открытым исходным кодом для веб- и мобильных платформ, которое помогает отслеживать расходы и платежи, а также создавать профессиональные счета на оплату (инвойсы) и коммерческие предложения. В версиях 2.3.3 и более ранних валидация запросов пакетного удаления в InvoiceShelf принимает идентификаторы записей без их последовательной привязки к company_id авторизованного пользователя. Затронутые валидаторы DeleteCustomersRequest, DeleteEstimatesRequest, DeleteExpensesRequest, DeleteInvoiceRequest, DeleteItemsRequest, DeletePaymentsRequest и DeleteUserRequest проверяют существование идентификаторов, но не осуществляют последовательную проверку принадлежности к арендодателю (tenant ownership). Авторизованный пользователь может отправить идентификатор другой компании и удалить записи, относящиеся к этой компании. Данная уязвимость исправлена в версии 2.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.