Veille sécuritéBackend & données
P3Élevée
InvoiceShelf avant 2.4.0 transmet une valeur contrôlée par l’utilisateur, orderByField, à des appels Laravel orderBy sans la restreindre aux identifiants de colonnes. Un utilisateur authentifié peut ainsi provoquer une injection SQL dans une clause ORDER BY et tenter d’extraire des informations de la base de données par observation booléenne.
Laravel
IdentifiantCVE-2026-55386
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.0
Source : NVD — CVE-2026-55386
Analyse technique
Le paramètre orderByField peut atteindre Invoice::scopeApplyFilters sans validation suffisante de la valeur comme identifiant de colonne.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 20:17:48 UTC, soit 2026-10-14T22:17:48+02:00, dans la période demandée. La référence CVE renvoie à l’avis GitHub GHSA-cp8p-jcqf-j39c et au correctif de la version 2.4.0.
ImpactUn utilisateur authentifié peut tenter d’extraire des informations de la base de données.
Versions affectéesInvoiceShelf < 2.4.0
Version corrigée2.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1 · CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Publication2026-10-14T22:17:48+02:00
Mise à jour2026-10-14T22:17:48+02:00
Détection / vérification
Vérifier si InvoiceShelf est installé dans une version antérieure à 2.4.0 et examiner les accès authentifiés aux vues de liste concernées.
Action recommandée
Mettre à niveau vers InvoiceShelf 2.4.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).