CVE-2026-55381

InvoiceShelf xərcləri və ödənişləri izləməyə, həmçinin peşəkar hesab-fakturalar və qiymət təklifləri yaratmağa kömək edən açıq mənbəli veb və mobil tətbiqdir. Versiya 2.4.0-dan əvvəl, ConvertEstimateController daxilindəki POST /api/v1/estimates/{estimate}/convert-to-invoice sorğusu yalnız çağıranın create-invoice səlahiyyətini yoxlayır və marşruta bağlı olan Estimate obyektinə girişi avtorizasiya etmir. Marşrut-model bağlaması (route-model binding) istənilən şirkətin təklifini həll edə bildiyi üçün, create-invoice səlahiyyəti olan autentifikasiya olunmuş istifadəçi başqa bir şirkətin sətir elementlərini, qiymətlərini, cəmlərini, vergilərini, qeydlərini, valyutasını və müştəri məlumatlarını hücum edənin şirkətindəki hesab-fakturaya kopyalaya bilər. Qurban şirkətin konfiqurasiya edilmiş çevirmə əməliyyatı checkForEstimateConvertAction funksiyasına çatır və orijinal təklifi dəyişdirə və ya silə bilər. Bu problem versiya 2.4.0-da düzəldilmişdir.