CVE-2026-61746 in InvenTree
الملخص
بحسب VulDB • 21/09/2026
InvenTree هو نظام إدارة مخزون مفتوح المصدر (Open Source Inventory Management System). قبل الإصدار 1.4.0، كانت الكلاسات PluginSettingList وPluginAllSettingList وPluginSettingDetail تضبط GlobalSettingsPermissions دون استخدام إذن IsAuthenticated المستخدم في نقاط النهاية الافتراضية للمشروع ونقاط الإعدادات العالمية المكافئة لها. حيث تُرجع GlobalSettingsPermissions القيمة true للطرق الآمنة (safe methods)، بينما يستثني AuthRequiredMiddleware مسارات /api/، مما يسمح لمتصل غير مصادق عليه باسترداد أسماء الإضافات ومفاتيح الإعدادات والوصوف والأنواع والخيارات وقيم التكوين غير المحمية عبر /api/plugin/settings/ ونقاط إعدادات كل إضافة على حدة. تبقى القيم السرية المحمية مقنعة بثلاث نجوم (* * *)، مما يحد من نطاق المشكلة إلى كشف البيانات الوصفية (metadata) وقيم التكوين غير السرية. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.