CVE-2026-55561 in InvoicePlane
Сводка
по VulDB • 29.10.2026
InvoicePlane — это приложение с открытым исходным кодом для самостоятельного развертывания (self-hosted), предназначенное для управления счетами, клиентами и платежами. До версии 1.7.2-beta-1 пользователи в статусе гостя могут одобрять или отклонять коммерческие предложения (quotes) любого клиента, а не только тех клиентов, которые были им назначены. Методы `approve()` и `reject()` в контроллере Guest Quotes (`application/modules/guest/controllers/Quotes.php`) вызывают функции `approve_quote_by_id($quote_id)` и `reject_quote_by_id($quote_id)` напрямую, без применения ограничения области видимости `where_in('ip_quotes.client_id', $this->user_clients)`, которое используется аналогичными методами. Гостевой пользователь, назначенный одному клиенту, может изменить статус коммерческого предложения другого клиента путем передачи последовательных целочисленных значений `quote_id`; при этом функция `email_quote_status()` также отправляет уведомления по электронной почте. Кроме того, метод `generate_pdf()` вызывает функцию `mark_viewed($quote_id)` до проверки области видимости клиента, что позволяет гостевому пользователю отмечать коммерческие предложения других клиентов как просмотренные. Эти проблемы устранены в версии 1.7.2-beta-1 и последующей стабильной версии 1.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.