CVE-2026-61747 in InvenTree
Résumé
par VulDB • 21/09/2026
InvenTree est un système de gestion d'inventaire open source. Avant la version 1.4.0, les points de terminaison /api/importer/row/ et /api/importer/mapping/ ne limitent pas (ne scopent pas) les querysets DataImportRow et DataImportColumnMap au propriétaire de la session DataImportSession associée. Tout utilisateur authentifié, y compris un compte sans rôles attribués, peut fournir l'identifiant d'une session d'importation appartenant à un autre utilisateur et récupérer les champs row_data et data ainsi que ses mappings de colonnes associés. Cela expose le contenu complet des données en attente d'importation entre utilisateurs, bien que le threat model d'InvenTree considère les instances utilisateurs authentifiés comme fiables (trusted). Ce problème est corrigé dans la version 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.