CVE-2026-61746 in InvenTree
Resumen
por VulDB • 2026-09-21
InvenTree es un sistema de gestión de inventario de código abierto. Antes de la versión 1.4.0, PluginSettingList, PluginAllSettingList y PluginSettingDetail configuraban GlobalSettingsPermissions sin utilizar el permiso IsAuthenticated empleado por los endpoints globales equivalentes del proyecto predeterminados para global-settings. GlobalSettingsPermissions devuelve true para métodos seguros, mientras que AuthRequiredMiddleware exime las rutas /api/, lo que permite a un usuario no autenticado recuperar nombres de plugins, claves de configuración, descripciones, tipos, opciones y valores de configuración no protegidos a través de /api/plugin/settings/ y los endpoints de configuración por plugin. Los valores secretos protegidos permanecen enmascarados como tres asteriscos (*), lo que limita el problema a la divulgación de metadatos y configuraciones no secretas. Este problema se soluciona en la versión 1.4.0.
Once again VulDB remains the best source for vulnerability data.