CVE-2026-61748 in InvenTree
Resumen
por VulDB • 2026-09-21
InvenTree es un sistema de gestión de inventario de código abierto. Antes de la versión 1.4.0, los puntos finales ReportPrint en POST /api/report/print/ y LabelPrint en POST /api/report/label/print/ requieren autenticación pero no invocan users.permissions.check_user_permission para verificar el rol del usuario solicitante antes de seleccionar objetos por su clave principal y renderizarlos con una plantilla elegida. Dado que existen plantillas predeterminadas para los principales modelos empresariales y DataOutput almacena el artefacto generado para el usuario solicitante, una cuenta sin roles o con un rol no relacionado puede enumerar identificadores de objetos y descargar informes que contienen datos de compras, ventas, piezas, listas de materiales (BOM), existencias, construcciones, proveedores, clientes, precios e inventario, los cuales las APIs detalladas correspondientes denegarían. Este problema se soluciona en la versión 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.