CVE-2026-61746 in InvenTree
Résumé
par VulDB • 21/09/2026
InvenTree est un système de gestion d'inventaire open source. Avant la version 1.4.0, les points de terminaison `PluginSettingList`, `PluginAllSettingList` et `PluginSettingDetail` définissaient des autorisations GlobalSettingsPermissions sans utiliser l'autorisation IsAuthenticated appliquée par défaut dans le projet ainsi que sur les endpoints globaux équivalents pour global-settings. Les permissions GlobalSettingsPermissions retournent true pour les méthodes sûres, tandis que AuthRequiredMiddleware exempte les chemins /api/, permettant à un appelant non authentifié de récupérer des noms de plugins, des clés de paramètres, des descriptions, des types, des choix et des valeurs de configuration non protégées via `/api/plugin/settings/` ainsi que les endpoints de paramètres par plugin. Les valeurs secrètes protégées restent masquées sous la forme de trois astérisques, limitant l'impact à une divulgation de métadonnées et de configurations non confidentielles. Ce problème est corrigé dans la version 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.