Plateforme
other
Composant
invoiceshelf
Corrigé dans
2.2.1
InvoiceShelf, une application web et mobile open-source pour la gestion des factures et des paiements, présente une vulnérabilité SSRF (Server-Side Request Forgery) avant la version 2.2.0. Cette faille permet à un attaquant d'exploiter le module de génération de PDF pour effectuer des requêtes non autorisées. L'impact potentiel inclut l'accès à des ressources externes et la compromission de la confidentialité des données. La vulnérabilité a été corrigée dans la version 2.2.0.
La vulnérabilité SSRF dans InvoiceShelf permet à un attaquant d'injecter du code HTML malveillant dans le champ Notes des factures. Ce code HTML, non validé, est ensuite transmis à la bibliothèque Dompdf pour la génération du PDF. Dompdf, en tentant de rendre le code HTML, effectuera des requêtes vers les URL spécifiées dans le code malveillant. Cela permet à l'attaquant de récupérer des données sensibles hébergées sur des serveurs internes ou externes, ou d'effectuer des actions non autorisées sur ces serveurs. Le risque est amplifié si InvoiceShelf est utilisé dans un environnement où des ressources sensibles sont accessibles via le réseau interne. Une exploitation réussie pourrait conduire à une fuite d'informations confidentielles, une compromission de la sécurité du réseau, ou même une prise de contrôle du serveur.
Cette vulnérabilité a été rendue publique le 2026-03-31. Il n'y a pas d'indication d'une exploitation active à ce jour. La probabilité d'exploitation est considérée comme moyenne, compte tenu de la nature de la vulnérabilité SSRF et de la disponibilité potentielle de preuves de concept. Il est conseillé de surveiller les forums de sécurité et les bases de données de vulnérabilités pour toute nouvelle information concernant cette vulnérabilité.
Organizations using InvoiceShelf for expense and invoice management, particularly those with legacy configurations or shared hosting environments, are at risk. Users who rely on the PDF generation functionality and have not implemented input validation measures are especially vulnerable.
• linux / server:
journalctl -u invoiceshelf | grep -i "dompdf" -i "remote resource"• generic web:
curl -I 'https://<invoiceshelf_url>/pdf/preview?invoice_id=<invoice_id>¬es=<malicious_html>' | grep 'Location:'disclosure
Statut de l'Exploit
EPSS
0.03% (percentile 10%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour InvoiceShelf vers la version 2.2.0 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de mettre en place des mesures de contournement. Il est fortement recommandé de désactiver temporairement la fonctionnalité de prévisualisation PDF et l'envoi de factures par e-mail. Si ces fonctionnalités sont essentielles, il faut implémenter une validation stricte du contenu HTML saisi dans le champ Notes, en utilisant une bibliothèque de sanitisation HTML robuste. Il est également possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes suspectes contenant des URL malveillantes. Après la mise à jour, vérifiez que la génération de PDF ne permet plus l'accès à des ressources externes non autorisées en testant avec des URL malveillantes contrôlées.
Mettez à jour InvoiceShelf à la version 2.2.0 ou ultérieure. Cette version corrige la vulnérabilité SSRF en nettoyant l'entrée HTML dans le champ Notes de la facture. Cela empêchera la bibliothèque Dompdf de récupérer des ressources distantes non désirées.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-34367 is a Server-Side Request Forgery vulnerability in InvoiceShelf versions prior to 2.2.0, allowing attackers to trigger requests to arbitrary remote resources via unsanitized HTML in invoice notes.
You are affected if you are using InvoiceShelf version 2.2.0 or earlier. Upgrade to 2.2.0 to resolve the vulnerability.
Upgrade InvoiceShelf to version 2.2.0 or later. As a temporary workaround, implement a WAF rule to filter malicious HTML in invoice notes.
There is currently no indication of active exploitation, but the vulnerability's ease of exploitation makes it a potential target.
Refer to the InvoiceShelf project's official website and GitHub repository for updates and advisories related to CVE-2026-34367.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.