CVE-2026-55561

Nome do Software Vulnerável e Versões Afetadas InvoicePlane versões anteriores a 1.7.2-beta-1

Description Usuários convidados podem aprovar ou rejeitar orçamentos pertencentes a qualquer cliente, independentemente de sua atribuição. No controlador de Orçamentos de Convidados localizado em application/modules/guest/controllers/Quotes.php, os métodos approve() e reject() chamam approve quote by id($quote id) e reject quote by id($quote id) sem implementar o escopo de cliente necessário. Isso permite que um usuário convidado altere o status do orçamento de outro cliente fornecendo valores inteiros sequenciais de quote id, o que também dispara e-mails de notificação via email quote status(). Além disso, a função generate pdf() chama mark viewed($quote id) antes de verificar o escopo do cliente, permitindo que usuários convidados marquem orçamentos de outros clientes como visualizados.

Recommendations Atualizar para a versão 1.7.2-beta-1 ou versão 1.7.2.