InvoiceShelf: Token-Typverwechslung legt Rechnungen und Offerten anderer Firmen offen

Zusammenfassung

Die öffentlichen Kundenrouten von InvoiceShelf für Rechnungen, Offerten und Zahlungen akzeptieren einen EmailLog-Token, ohne den Dokumenttyp zu prüfen, und die JSON-Routen erzwingen die Ablaufzeit nicht. Ein Angreifer mit einem gültigen Token kann bei kollidierenden numerischen IDs ein Dokument einer anderen Firma einsehen, und abgelaufene Token bleiben auf den JSON-Endpunkten nutzbar. Aufrufe der Ansicht können zudem eine Rechnung oder Offerte als angesehen markieren und eine Benachrichtigungs-E-Mail auslösen. Eine Anmeldung ist nicht nötig, wohl aber ein gültiger Token.

Betroffen

• InvoiceShelf-Versionen vor 2.4.0
• Die Quellen unterscheiden sich in der unteren Grenze der betroffenen Versionen; bis zur Bestätigung durch das Herstellerpublikation gelten alle Versionen unterhalb 2.4.0 als betroffen.

Behoben in

• Behoben in InvoiceShelf 2.4.0 (Pull Request #662, GHSA-73q7-2953-8gvx).
• Der Hersteller nennt 2.4.7 als aktuelle stabile Version; verwenden Sie die neueste 2.4.x-Version.

Umgehung

• Unbekannt. Der Hersteller dokumentiert keine Umgehungsmassnahme.
• Bis zur Behebung den öffentlichen Zugriff auf das Kundenportal nach Möglichkeit einschränken und die Token-Gültigkeitsdauer verkürzen, sofern die Konfiguration dies erlaubt.

Ausnutzung

• CISA SSVC: Exploitation-Status PoC, automatisierbar: ja, technische Auswirkung: teilweise.
• Keine Hinweise auf eine aktive Ausnutzung in der Praxis gefunden; nicht im CISA-KEV-Katalog.

Unsere Empfehlung

• InvoiceShelf auf die neueste 2.4.x-Version aktualisieren.
• Bei Installationen mit mehreren Firmen oder einem aus dem Internet erreichbaren Kundenportal die Aktualisierung priorisieren.
• Zugriffsprotokolle auf Token-Anfragen an /customer/invoices, /customer/estimates und /customer/payments prüfen.
• Die Erreichbarkeit des Portals bis zur Aktualisierung einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-55383 Fix commit 5839d83 github.com
• Pull Request #662 github.com
• InvoiceShelf Release 2.4.0 github.com
• GHSA-73q7-2953-8gvx Security Advisory github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:15.