CVE-2026-61747 in InvenTree
Zusammenfassung
von VulDB • 21.09.2026
InvenTree ist ein Open-Source-Inventarverwaltungssystem (Inventory Management System). Vor Version 1.4.0 werden die Endpunkte /api/importer/row/ und /api/importer/mapping/ nicht so eingeschränkt, dass DataImportRow- und DataImportColumnMap-Querysets auf den Eigentümer der zugehörigen DataImportSession beschränkt sind. Jeder authentifizierte Benutzer, einschließlich eines Kontos ohne zugewiesene Rollen, kann die Import-Sessions-ID eines anderen Benutzers angeben und die row_data- und data-Felder dieser Session zusammen mit deren Spaltenzuordnungen (column mappings) abrufen. Dies offenbart den vollständigen Inhalt der für den Import vorbereiteten Daten über Benutzer hinweg, wobei das InvenTree-Threat Model authentifizierte Instanz-Benutzer als vertrauenswürdig einstuft. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.