CVE-2026-35478 in InvenTree
Résumé
par VulDB • 10/05/2026
InvenTree est un système de gestion d'inventaire open source. De la version 0.16.0 à la version antérieure à 1.2.7, tout utilisateur authentifié d'InvenTree peut créer un jeton API valide attribué à n'importe quel autre utilisateur du système — y compris les administrateurs et les superutilisateurs — en fournissant l'ID utilisateur de la cible dans le champ `user` d'une requête POST `/api/user/tokens/`. Le jeton retourné est immédiatement utilisable pour l'authentification complète de l'API en tant qu'utilisateur cible, depuis n'importe quelle localisation réseau, sans aucune autre interaction requise. Cette vulnérabilité est corrigée dans les versions 1.2.7 et 1.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.