CVE-2026-55381
Beschrijving NL
InvoiceShelf is een open-source web- en mobiele app die helpt bij het bijhouden van uitgaven, betalingen en het maken van professionele facturen en schattingen. Voorafgaand aan versie 2.4.0 autoriseert POST /api/v1/estimates/{estimate}/convert-to-invoice in ConvertEstimateController alleen de mogelijkheid van de beller om facturen aan te maken en autoriseert het geen toegang tot de routegebonden schatting. Omdat route-modelbinding een schatting van elk bedrijf kan oplossen, kan een geverifieerde gebruiker met de mogelijkheid om facturen aan te maken de regelitems, prijzen, totalen, belastingen, notities, valuta en klantgegevens van een ander bedrijf kopiëren naar een factuur in het bedrijf van de aanvaller. De geconfigureerde conversieactie van het slachtofferbedrijf bereikt checkForEstimateConvertAction en kan ook de oorspronkelijke schatting wijzigen of verwijderen. Dit probleem is opgelost in versie 2.4.0.
Origineel (Engels) tonen
InvoiceShelf is an open-source web & mobile app that helps track expenses, payments and create professional invoices and estimates. Prior to version 2.4.0, POST /api/v1/estimates/{estimate}/convert-to-invoice in ConvertEstimateController authorizes only the caller's create-invoice ability and does not authorize access to the route-bound Estimate. Because route-model binding can resolve an estimate from any company, an authenticated user with create-invoice ability can copy another company's line items, prices, totals, taxes, notes, currency, and customer data into an invoice in the attacker's company. The victim company's configured conversion action reaches checkForEstimateConvertAction and can also change or delete the original estimate. This issue is fixed in version 2.4.0.