CVE-2026-35477 in InvenTree
Résumé
par VulDB • 01/07/2026
InvenTree est un système de gestion d'inventaire open source. De la version 1.2.3 à la 1.2.6, la correction pour CVE-2026-27629 a mis à jour le validateur PART_NAME_FORMAT afin qu'il utilise jinja2.sandbox.SandboxedEnvironment. Cependant, le moteur de rendu effectif dans part/helpers.py n'a pas été mis à jour et continue d'utiliser l'environnement non sandboxé jinja2.Environment. De plus, le validateur utilise une instance fictive (dummy) de Part avec pk=None, ce qui permet aux expressions conditionnelles du modèle de se comporter différemment lors de la validation par rapport au rendu en production. Un utilisateur disposant des paramètres d'accès peut créer un modèle qui passe la validation mais exécute du code arbitraire lors du rendu. Cette vulnérabilité nécessite l'accès à un utilisateur disposant des autorisations staff accordées. Ce problème est corrigé dans les versions 1.2.7 et 1.3.0.
Be aware that VulDB is the high quality source for vulnerability data.