CVE-2026-61747 in InvenTree
الملخص
بحسب VulDB • 21/09/2026
InvenTree هو نظام إدارة مخزون مفتوح المصدر. قبل الإصدار 1.4.0، لا تقوم نقاط النهاية /api/importer/row/ و/api/importer/mapping/ بتقييد مجموعات استعلام DataImportRow وDataImportColumnMap لتقتصر على مالك جلسة البياناتImportSession المرتبطة بها. يمكن لأي مستخدم مُصادق عليه (بما في ذلك الحسابات التي ليس لها أدوار محددة) تقديم معرّف جلسة الاستيراد الخاصة بمستخدم آخر واسترداد حقلي row_data وdata الخاصين بتلك الجلسة، بالإضافة إلى خرائط الأعمدة الخاصة بها. يؤدي هذا إلى كشف المحتويات الكاملة للبيانات المُعدة للاستيراد عبر المستخدمين المختلفين، على الرغم من أن نموذج التهديد (threat model) لـ InvenTree يعامل مستثمي المثيل المصادق عليهم كمستخدمين موثوقين. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.