CVE-2026-55382
Təsvir
InvoiceShelf xərcləri və ödənişləri izləməyə, həmçinin peşəkar hesab-fakturalar və qiymət təklifləri yaratmağa kömək edən açıq mənbəli veb və mobil tətbiqdir. Versiya 2.4.0-dan əvvəl InvoiceShelf NotesController::show, NotesController::update və NotesController::destroy yalnız ümumi "view notes" və ya "manage notes" imkanlarını avtorizasiya edir və marşrutla bağlı Note obyektini NotePolicy::viewNotes və ya NotePolicy::manageNotes metodlarına ötürmür, buna görə də heç bir metod hədəf qeydin company_id parametrini yoxlamır. Note modelində qlobal şirkət sahəsi (company scope) olmadığı üçün, adi qeyd imkanlarına malik autentifikasiya olunmuş personal istifadəçisi başqa bir şirkətin ardıcıl qeyd identifikatorunu seçərək onun təkrar istifadə edilə bilən hesab-faktura, qiymət təklifi və ödəniş qeydi şablonlarını oxuya, dəyişdirə və ya silə bilər. Bu problem versiya 2.4.0-da düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| InvoiceShelf InvoiceShelf | < 2.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.