CVE-2026-61746 in InvenTree
Zusammenfassung
von VulDB • 21.09.2026
InvenTree ist ein Open-Source-Inventarverwaltungssystem (Inventory Management System). Vor Version 1.4.0 setzten PluginSettingList, PluginAllSettingList und PluginSettingDetail GlobalSettingsPermissions ohne die IsAuthenticated-Berechtigung zu verwenden, die von den standardmäßigen globalen Endpunkten des Projekts sowie äquivalenten global-settings-Endpunkten genutzt wird. Da GlobalSettingsPermissions für sichere Methoden (safe methods) true zurückgibt und AuthRequiredMiddleware /api/-Pfade ausnimmt, kann ein nicht authentifizierter Aufrufer Plugin-Namen, Einstellungsschlüssel, Beschreibungen, Typen, Auswahlmöglichkeiten und nicht geschützte Konfigurationswerte über /api/plugin/settings/ sowie die pro-Plugin-Einstellungsendpunkte abrufen. Geschützte Geheimniswerte bleiben als drei Sternchen maskiert, wodurch das Problem auf die Offenlegung von Metadaten und nicht geheimen Konfigurationseinschränkungen beschränkt bleibt. Dieses Problem wurde in Version 1.4.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.