CVE-2026-61745 in InvenTree
Zusammenfassung
von VulDB • 21.09.2026
InvenTree ist ein Open-Source-Inventarverwaltungssystem. Vor Version 1.4.0 verwendet der POST /api/machine/{pk}/restart/-Endpunkt in src/backend/InvenTree/machine/api.py IsAuthenticatedOrReadScope, ohne die ADMIN-Rolle zu erfordern, die für andere Maschinenverwaltungsoperationen genutzt wird. Jeder authentifizierte Benutzer, der nicht über die ADMIN-Rolle verfügt (einschließlich eines Lagerbenutzers mit nur der STOCK-Rolle), kann MachineRestart dazu bringen, registry.restart_machine() für jede registrierte Maschine aufzurufen, wodurch deren Status zurückgesetzt und aktive Druck-, Scan- oder andere Maschinenoperationen unterbrochen werden. Dieses Problem wurde in Version 1.4.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.