プラットフォーム
php
コンポーネント
invoiceshelf
修正版
2.2.1
InvoiceShelfは、経費や支払いを追跡し、プロの請求書や見積書を作成するオープンソースのWeb & モバイルアプリです。CVE-2026-34365は、バージョン2.2.0以前のInvoiceShelfに存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。この脆弱性を悪用されると、攻撃者はリモートリソースへのアクセスを不正に実行できます。影響を受けるバージョンは2.2.0以前であり、バージョン2.2.0へのアップデートで修正されています。
このSSRF脆弱性は、攻撃者がInvoiceShelfサーバーを介して任意の内部または外部リソースにアクセスすることを可能にします。見積書のメモ欄に悪意のあるHTMLを挿入することで、攻撃者は機密情報へのアクセスを試みたり、内部ネットワークへの偵察を行ったり、さらにはサーバー上で任意のコードを実行する可能性があります。PDFプレビューや顧客ビューエンドポイントを通じて直接悪用可能であり、自動メール添付機能の有効性に関わらず脆弱性は存在します。この脆弱性の悪用は、機密データの漏洩、システムへの不正アクセス、およびさらなる攻撃への足がかりとなる可能性があります。
この脆弱性は2026年3月31日に公開されました。現時点では、この脆弱性を悪用する公開PoCは確認されていませんが、SSRF脆弱性は一般的に悪用されやすいと考えられます。CISA KEVカタログへの登録状況は不明です。攻撃者は、InvoiceShelfを導入している組織を標的とし、この脆弱性を悪用して機密情報にアクセスしたり、システムを制御しようとする可能性があります。
Organizations utilizing InvoiceShelf for expense and invoice management, particularly those with automated email attachment features enabled, are at risk. Shared hosting environments where multiple users share the same InvoiceShelf instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through another user's account.
• php / server:
find /var/www/html/invoiceshelf/ -name 'dompdf.inc.php' -print• generic web:
curl -I 'https://your-invoiceshelf-instance/estimate/preview?notes=<script>alert(1)</script>' # Check for XSS-like responsedisclosure
エクスプロイト状況
EPSS
0.03% (10% パーセンタイル)
CISA SSVC
この脆弱性への最も効果的な対策は、InvoiceShelfをバージョン2.2.0にアップデートすることです。アップデートが利用できない場合、DompdfライブラリへのHTML入力のサニタイズを強化するカスタムコードを実装することを検討してください。WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・ブロックするルールを設定することも有効です。また、InvoiceShelfのログを監視し、不審なリクエストを検出することも重要です。アップデート後、PDFプレビュー機能を用いて、外部URLへのアクセスを試みることにより、修正が正しく適用されていることを確認してください。
InvoiceShelfをバージョン2.2.0以降にアップデートしてください。このバージョンでは、メモフィールドのHTML入力をサニタイズすることで、見積PDF生成モジュールのSSRF脆弱性を修正しています。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-34365は、InvoiceShelfのバージョン2.2.0以前に存在するサーバーサイドリクエストフォージェリ（SSRF）脆弱性です。見積PDF生成モジュールにおけるHTMLの不適切なサニタイズが原因で、リモートリソースがフェッチされます。
はい、InvoiceShelfのバージョン2.2.0以前を使用している場合、この脆弱性により攻撃者がリモートリソースにアクセスされる可能性があります。
InvoiceShelfをバージョン2.2.0にアップデートしてください。アップデートが利用できない場合は、DompdfライブラリへのHTML入力のサニタイズを強化するカスタムコードを実装することを検討してください。
現時点では、この脆弱性を悪用する公開PoCは確認されていませんが、SSRF脆弱性は一般的に悪用されやすいと考えられます。
InvoiceShelfの公式アドバイザリは、通常、InvoiceShelfのウェブサイトまたはGitHubリポジトリで公開されます。
CVSS ベクトル