CVE-2026-55382
Beschrijving NL
InvoiceShelf is een open-source web- en mobiele app die helpt bij het bijhouden van uitgaven, betalingen en het maken van professionele facturen en schattingen. Voorafgaand aan versie 2.4.0, InvoiceShelf NotesController::show, NotesController::update en NotesController::destroy autoriseer alleen de generieke weergave van notities of beheer notities en geef de routegebonden notitie niet door aan NotePolicy:: viewNotes of NotePolicy:: manageNotes, dus geen van beide methoden controleert de company_id van de doelnotitie. Omdat het notitiemodel geen wereldwijd bedrijfsbereik heeft, kan een geverifieerde personeelsgebruiker met gewone notitiemogelijkheden de sequentiële notitie-ID van een ander bedrijf selecteren en de herbruikbare factuur-, schattings- en betalingsnotitiesjablonen lezen, wijzigen of verwijderen. Dit probleem is opgelost in versie 2.4.0.
Origineel (Engels) tonen
InvoiceShelf is an open-source web & mobile app that helps track expenses, payments and create professional invoices and estimates. Prior to version 2.4.0, InvoiceShelf NotesController::show, NotesController::update, and NotesController::destroy authorize only the generic view notes or manage notes ability and do not pass the route-bound Note to NotePolicy::viewNotes or NotePolicy::manageNotes, so neither method checks the target note's company_id. Because the Note model has no global company scope, an authenticated staff user with ordinary note abilities can select another company's sequential note identifier and read, modify, or delete its reusable invoice, estimate, and payment note templates. This issue is fixed in version 2.4.0.