CVE-2026-35476 in InvenTree
Résumé
par VulDB • 27/06/2026
InvenTree est un système de gestion d'inventaire open source. Avant les versions 1.2.7 et 1.3.0, un utilisateur authentifié non membre du personnel peut élever son compte au niveau « staff » (personnel autorisé) via une requête POST adressée à l'endpoint de son compte utilisateur. Les autorisations d'écriture sur cet endpoint API sont mal configurées, permettant à tout utilisateur de modifier son statut de membre du personnel. Cette vulnérabilité est corrigée dans les versions 1.2.7 et 1.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.