CVE-2026-55382
Açıklama
InvoiceShelf; giderlerin ve ödemelerin takip edilmesine yardımcı olan, profesyonel faturalar ve teklifler oluşturan açık kaynaklı bir web ve mobil uygulamadır. Versiyon 2.4.0 öncesinde, InvoiceShelf NotesController::show, NotesController::update ve NotesController::destroy yalnızca genel notları görüntüleme veya notları yönetme yetkisini doğrular ve rota ile bağlı Not nesnesini NotePolicy::viewNotes veya NotePolicy::manageNotes yöntemlerine aktarmaz; bu nedenle her iki yöntem de hedef notun company_id değerini kontrol etmez. Note modeli küresel bir şirket kapsamına sahip olmadığından, standart not yetkilerine sahip kimliği doğrulanmış bir personel kullanıcısı, başka bir şirketin ardışık not tanımlayıcısını seçerek o şirkete ait yeniden kullanılabilir fatura, teklif ve ödeme not şablonlarını okuyabilir, değiştirebilir veya silebilir. Bu sorun versiyon 2.4.0 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| InvoiceShelf InvoiceShelf | < 2.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.