CVE-2026-122158: Escalation di privilegi in InvoiceShelf

Escalation di privilegi cross-tenant in InvoiceShelf fino a 2.4.3. Patch disponibile in 2.4.4 e 3.0.0-alpha.4.

Il CVE-2026-122158 è una vulnerabilità di improper access controls in InvoiceShelf, piattaforma per la gestione della fatturazione e fatturazione in ambienti multi-tenant. La falla risiede nella funzione MemberService::create del file app/Domains/Accounts/Application/MemberService.php: manipolando i parametri companies[].id e companies[].role, un utente remoto può ottenere privilegi di altri tenant ospitati sulla stessa istanza. Le versioni interessate sono fino alla 2.4.3 e 3.0.0-alpha.3.

La vulnerabilità riporta CVSS 4,7 (gravità medium), ma il suo impatto è significativo in contesti multi-tenant: un attaccante potrebbe accedere ai dati di altre organizzazioni gestite dalla medesima istanza InvoiceShelf. Secondo i dati ufficiali NVD (2026-11-05), l'exploit è stato rilasciato pubblicamente. Il segnale GitHub del 2026-11-06 conferma la disponibilità di proof-of-concept (PoC) dimostrativo. Lo stato è critico per chi esegue versioni vulnerabili, data la disponibilità pubblica del codice di sfruttamento.

Gli amministratori devono aggiornare immediatamente a InvoiceShelf 2.4.4 o 3.0.0-alpha.4 applicando la patch c798b513c3ab6e672a1678774720fbb282f4d0c6. In attesa dell'aggiornamento: verificare se l'istanza è esposta a Internet; controllare i log di accesso per pattern anomali nei parametri companies[].id e companies[].role; limitare l'accesso tramite firewall o VPN; monitorare le operazioni di creazione member per rilevare attività sospette. Nessuna mitigazione alternativa è disponibile; il patching è l'unica soluzione difensiva.

In sintesi

Cosa: Il CVE-2026-122158 è una vulnerabilità di improper access controls nella funzione MemberService::create (file app/Domains/Accounts/Application/MemberService.php) di InvoiceShelf. La manipolazione dei parametri companies[].id e companies[].role consente a un utente remoto di eseguire un'escalation di privilegi verso altri tenant della stessa istanza.
Gravità: CVSS 4,7 (medium). Gravità dichiarata: medium. Impatto moderato-significativo in ambienti multi-tenant: accesso remoto possibile a dati di altre organizzazioni.
Versioni interessate: InvoiceShelf fino alla versione 2.4.3 e 3.0.0-alpha.3.
Correzione: Aggiornamento a versione 2.4.4 o 3.0.0-alpha.4. Patch identificata: c798b513c3ab6e672a1678774720fbb282f4d0c6.
Stato: Exploit pubblico disponibile. Repository GitHub contenente PoC confermato il 2026-11-06. NVD pubblicato il 2026-11-05. Segnale coerente tra fonti ufficiali.
Azione: Eseguire upgrade prioritario. Verificare se l'istanza è esposta a Internet. Controllare log per accessi anomali ai parametri companies[].id/role. Limitare accesso via firewall/VPN. Monitorare operazioni di member creation fino al patching.

Fonti: NVD, CVE-2026-122158

← Tutti gli articoli