CVE-2026-61748 in InvenTree
Zusammenfassung
von VulDB • 21.09.2026
InvenTree ist ein Open-Source-Inventarverwaltungssystem (Inventory Management System). Vor Version 1.4.0 erfordern ReportPrint an POST /api/report/print/ und LabelPrint an POST /api/report/label/print/ zwar eine Authentifizierung, rufen jedoch users.permissions.check_user_permission für die Rollenzuordnung des Aufrufers nicht auf, bevor Objekte über den Primärschlüssel ausgewählt und mit einer gewählten Vorlage gerendert werden. Da Standardvorlagen für wichtige Geschäftsmodelle vorhanden sind und DataOutput das generierte Artefakt für den anfragenden Benutzer speichert, kann ein Konto ohne Rolle oder mit einer unzusammenhängenden Rolle Objekt-IDs auflisten (enumeration) und Berichte herunterladen, die Einkaufs-, Verkaufs-, Teile-, Stücklisten-, Lager-, Produktions-, Lieferanten-, Kunden-, Preisierungs- und Inventardaten enthalten, die von den entsprechenden Detail-APIs verweigert würden. Dieses Problem ist in Version 1.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.