CVE-2026-61744 in InvenTree
الملخص
بحسب VulDB • 21/09/2026
InvenTree هو نظام إدارة مخزون مفتوح المصدر. قبل الإصدار 1.4.0، يقبل الـ endpoint POST /api/barcode/ رمزًا باركود JSON داخليًا مُصنَّعًا من قِبل المهاجم يحتوي على تسمية نموذج (model label) بأحرف صغيرة ومفتاح أساسي صحيح (integer primary key)، بينما يستخدم BarcodeView IsAuthenticatedOrReadScope ويتطلب فقط المصادقة أو نطاق قراءة عام. يختار مكوّن الباركود المدمج الكائن باستخدام model.objects.get(pk=...)، ويعيد InvenTreeBarcodeMixin.format_matched_response() إخراج مُسلسل النموذج الكامل كـ instance دون التحقق من دور عرض النموذج الخاص بالمتصل (caller's per-model view role). يمكن لمستخدم ذي امتيازات منخفضة تعداد المفاتيح الأساسية لأجزاء المخزون والمواقع وأجزاء الموردين والشركات المصنعة والطلبات والتصنيعيات، مما يؤدي إلى الكشف عن بيانات حساسة تجاريًا تتعلق بالمخزون والأسعار والموردين والعملاء وبيانات الطلب. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.