CVE-2026-61748 in InvenTree
الملخص
بحسب VulDB • 21/09/2026
InvenTree هو نظام إدارة مخزون مفتوح المصدر. قبل الإصدار 1.4.0، كانت نقاط النهاية ReportPrint عند POST /api/report/print/ و LabelPrint عند POST /api/report/label/print/ تتطلب المصادقة لكنها لم تتحقق من دور المستخدم (per-model view role) الخاص بالمتصل عبر استدعاء users.permissions.check_user_permission قبل تحديد الكائنات باستخدام المفتاح الأساسي وعرضها بقالب مختار. ونظراً لوجود قوالب افتراضية للنماذج التجارية الرئيسية، ولأن DataOutput يخزن الأداة الناتجة للمستخدم الذي أرسل الطلب، يمكن لحساب يفتقر إلى دور أو لديه دور غير ذي صلة بتعداد معرّفات الكائنات وتنزيل تقارير تحتوي على بيانات المشتريات والمبيعات والأجزاء وقوائم المواد (BOM) والمخزون والبناء والموردين والعملاء والتسعين وبيانات المخزون التي كانت سترفضها واجهات البرمجة التطبيقية (APIs) التفصيلية المقابلة. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.